Dernière édition Attention: Le pdf pèse environ 17 - BFH-TI - Berner ...

BIBEBUVABSc in InformatikKassandra – A Firefox Security Demonstration Add-OnIT Security / Betreuer: Dr. Emmanuel BenoistExperte: Armin BlumAnhand einer Erweiterung, eines sogenannten Add-Ons, konnten wir diverse Schwachstellen im Design desFirefox Browser aufdecken. Wir waren in der Lage, bestehende Sitzungen (Ebay, Gmail…) zu übernehmen,die Tastaturschläge des Benutzers aufzuzeichnen, Passwortfelder zur Laufzeit zu manipulieren und privateDateien auf dem Laufwerk auszuspähen. Verschiedene Viren- und Internetscanner waren nicht in der Lage,Kassandra zu entdecken. Ein weiteres Highlight ist das Verstecken und Auslesen von geheimen Nachrichtenin Bildern auf Google+.Petar Aleksandrovicpetar.aleksandrovic@gmail.comStephan BergerFirefox und seine ErweiterungenDer Web-Browser nimmt in unserervernetzten Gesellschaft einen immergrösseren Stellenwert ein, unddieser Trend wird sich mit den fortschreitendentechnischen Möglichkeitennoch einmal vergrössern.Die Version 1.0 von Firefox wurdeEnde 2004 veröffentlicht, und seitdemkonnte der quelloffene Browserseinen Marktanteil auf gut25 Prozent ausbauen, dies nichtzuletzt wegen seinen Erweiterungen,den sogenannten Add-Ons,deren Sicherheit wir uns in dieserBachelor-Thesis gewidmet haben.Der Fuchs im SchafspelzEin Benutzer, so unerfahren er auchsein mag, würde sich kein Add-Oninstallieren, wenn er auf den erstenBlick sehen würde, dass es seinePasswörter und Login-Datenstehlen würde. Deshalb haben wirein sogenanntes Overlay programmiert,das dem Benutzer die aktuellenAngebote der DetailhandelsketteDenner anzeigt. AufKnopfdruck erscheint dann unserDenner Promotions – Das Overlayfür Kassandrarichtiges Add-On namens Kassandra(Seherin und Tochter desTrojanischen Königs Priamos, diedie Trojaner vor der List der Griechenwarnte). Wir haben unsereArbeit so benannt, weil wir uns wiedie Griechen einer List bedienen,um den Benutzer dazu zu bewegen,unsere Erweiterungen zu installieren.Der Hauptbereich von KassandraEin Add-On, viele MöglichkeitenNachdem sich ein Benutzer Kassandrainstalliert hat (über Social-Engineering oder über einen anderenKanal) stehen uns folgendeMöglichkeiten offen, um persönlicheund private Daten des Userauszuspionieren sowie ihn auffalsche Seiten zu leiten:– Keylogging – Aufzeichnen derTastaturschläge inklusive Screenshotder besuchten Seite– Redirection – Fernsteuern auffremde Seiten– Session Hijacking – Übernahmeeiner laufenden Sitzung (Ebay,Ricardo, GMail…)– Server Socket – Verbindung perTelnet auf den Rechner des Benutzers(Lesen / Schreiben vonDateien auf der Festplatte, Verändernder Lesezeichen, Durchsuchendes Verlaufes…)– DOM Manipulation – Ersetzenvon Formularen und auslesenvon gespeicherten Passwörtern– Spoofing – Weiterleitung auf einenanderen Server und Täuschungdes Benutzers, damit ersich bei einer fremden Seite anmeldet(GMail / Yahoo Mail)– Kryptographie – VerschlüsselteDateien zur Laufzeit in ein Objektmit lauffähigem Code umwandelnzur Täuschung vonMalware-ScannernDas letzte Feature von Kassandrakönnte z. B. von Regimegegnernin unterdrückten Ländern verwendetwerden:– Steganographie – Das Versteckenvon geheimen Nachrichtenin Bildern auf Google+Unter dem RadarVerschiedene Tests mit Viren- undInternetscannern von namhaftenAnbietern verliefen positiv in demSinne, dass Kassandra unentdecktgeblieben ist, und zwar beiallen oben vorgestellten Funktionen.Dies zeigt deutlich, dass imHinblick auf die Sicherheit vonBrowsern noch eine Menge Potentialvorhanden ist, um den Benutzerndie grösstmögliche Sicherheitgewährleisten zu können.142 ti.bfh.ch