12. Harald Vranken, Security in onderwijs en onderzoek
12. Harald Vranken, Security in onderwijs en onderzoek
12. Harald Vranken, Security in onderwijs en onderzoek
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
<strong>Security</strong> <strong>in</strong> <strong>onderzoek</strong> <strong>en</strong> <strong>onderwijs</strong><br />
TouW-symposium<br />
24 november 2012<br />
<strong>Harald</strong> <strong>Vrank<strong>en</strong></strong><br />
Met Met dank aan: aan:<br />
<br />
Marko van van Eekel<strong>en</strong><br />
<br />
Arjan Kok Kok<br />
<br />
Juli<strong>en</strong> Schmaltz<br />
<br />
Freek Verbeek<br />
<br />
J<strong>en</strong>s Haag<br />
<br />
Sv<strong>en</strong> Kiljan<br />
<br />
Carlos Montes Portela<br />
<br />
afstudeerders
Ag<strong>en</strong>da<br />
• Onderwijs<br />
– <strong>Security</strong> <strong>en</strong> IT<br />
– Software security<br />
– CPP IT security <strong>en</strong>g<strong>in</strong>eer<br />
• Onderzoek<br />
– afstudeeropdracht<strong>en</strong><br />
– promotie-<strong>onderzoek</strong><strong>en</strong><br />
– post-doc <strong>onderzoek</strong><br />
2
Cursus <strong>Security</strong> <strong>en</strong> IT<br />
• Breed overzicht van vakgebied IT security<br />
– Cryptografie<br />
– Beveilig<strong>in</strong>g van software<br />
– Beveilig<strong>in</strong>g van bestur<strong>in</strong>gssystem<strong>en</strong> <strong>en</strong> databases<br />
– Beveilig<strong>in</strong>g van computernetwerk<strong>en</strong><br />
– Aspect<strong>en</strong> van beheer <strong>en</strong> privacy
Cursus <strong>Security</strong> <strong>en</strong> IT<br />
• Nadruk op beveilig<strong>in</strong>g <strong>in</strong> technische z<strong>in</strong><br />
– Welke kwetsbaarhed<strong>en</strong> zijn er <strong>in</strong> computersystem<strong>en</strong>?<br />
– Welke aanvall<strong>en</strong> zijn daardoor mogelijk?<br />
– Hoe kunn<strong>en</strong> we deze aanvall<strong>en</strong> voorkom<strong>en</strong>?<br />
– Hoe kunn<strong>en</strong> we geslaagde aanvall<strong>en</strong> ontdekk<strong>en</strong>?
Cursus <strong>Security</strong> <strong>en</strong> IT<br />
Doel<strong>en</strong> van security<br />
• Confid<strong>en</strong>tialiteit<br />
– bescherm<strong>en</strong> van<br />
vertrouwelijkheid, privacy<br />
• Integriteit<br />
– bescherm<strong>en</strong> teg<strong>en</strong><br />
modificer<strong>en</strong> (aanpass<strong>en</strong>, verwijder<strong>en</strong>)<br />
• Beschikbaarheid<br />
– bescherm<strong>en</strong> van toegankelijkheid<br />
Confid<strong>en</strong>tiality<br />
Availability<br />
Integrity<br />
<strong>Security</strong>
Cursus <strong>Security</strong> <strong>en</strong> IT<br />
Cryptografie: oudheid (1)<br />
• 1900 vChr. hiëroglyf<strong>en</strong> <strong>in</strong> Egypte<br />
• 50 vChr. Caesar-cijfer<br />
– monoalfabetische substitutie<br />
– Voorbeeld:<br />
Klare tekst: HOI<br />
Cijfertekst: KRL<br />
A B C D E F G H I J K L M N O P Q R S T U V W X Y Z<br />
D E F G H I J K L M N O P Q R S T U V W X Y Z A B C
Cursus <strong>Security</strong> <strong>en</strong> IT<br />
Cryptografie: oudheid (2)<br />
• WO II: Enigma<br />
– polyalfabetische substitutie<br />
– Voorbeeld:<br />
Klare tekst: HOI<br />
Cijfertekst: NXO
Cursus <strong>Security</strong> <strong>en</strong> IT<br />
Cryptografie: teg<strong>en</strong>woordig<br />
• Gefundeerd op wiskunde<br />
– AES<br />
– RSA<br />
klare tekst<br />
Dit is<br />
geheim<br />
<strong>en</strong>cryptie-<br />
algoritme E<br />
<strong>en</strong>cryptiesleutel<br />
K e<br />
cijfertekst<br />
Kbh bq<br />
azszbg<br />
decryptie-<br />
algoritme D<br />
decryptiesleutel<br />
K d<br />
klare tekst<br />
Dit is<br />
geheim
Cursus <strong>Security</strong> <strong>en</strong> IT<br />
Beveilig<strong>in</strong>g van databases<br />
Voorbeeld: SQL-<strong>in</strong>jectie<br />
<strong>Vrank<strong>en</strong></strong><br />
RAbn3%cd<br />
' OR 1=1 --<br />
' OR 1=1 --<br />
SELECT Username<br />
FROM Users<br />
WHERE (Username = '<strong>Vrank<strong>en</strong></strong>‘) AND<br />
SELECT Username<br />
FROM Users<br />
(Password = 'RAbn3%cd‘)<br />
WHERE (Username = '' OR 1=1 --') AND<br />
(Password = '' OR 1=1 --')
Cursus <strong>Security</strong> <strong>en</strong> IT<br />
Virtueel security lab<br />
• Zelf aan de slag <strong>in</strong> e<strong>en</strong> computernetwerk als<br />
hacker, beveiliger <strong>en</strong> gebruiker
Cursus <strong>Security</strong> <strong>en</strong> IT<br />
Virtueel security lab<br />
• Voorbeeld van opdracht:<br />
DMZ <strong>en</strong> firewalls<br />
firewall firewall<br />
<strong>in</strong>ternet demilitarized<br />
<strong>in</strong>tranet<br />
zone
Cursus <strong>Security</strong> <strong>en</strong> IT<br />
Access control
Ag<strong>en</strong>da<br />
• Onderwijs<br />
– <strong>Security</strong> <strong>en</strong> IT<br />
– Software security<br />
– CPP IT security <strong>en</strong>g<strong>in</strong>eer<br />
• Onderzoek<br />
– afstudeeropdracht<strong>en</strong><br />
– promotie-<strong>onderzoek</strong><strong>en</strong><br />
– post-doc <strong>onderzoek</strong><br />
13
Cursus Software security<br />
• Software security<br />
– <strong>en</strong>g<strong>in</strong>eer<strong>in</strong>g software so that it cont<strong>in</strong>ues to function<br />
correctly under malicious attack<br />
– understand<strong>in</strong>g software-<strong>in</strong>duced security risks and how<br />
to manage them<br />
• Kernpr<strong>in</strong>cipe: build<strong>in</strong>g security <strong>in</strong>
Cursus Software security<br />
• Vulnerabilities<br />
– Validatie van <strong>in</strong>voer <strong>en</strong> uitvoer<br />
– Buffer overflow<br />
– Excepties <strong>en</strong> privileges<br />
• Ontwikkel<strong>en</strong> van beveiligde software<br />
– Risicomanagem<strong>en</strong>t <strong>en</strong> risicoanalyse<br />
– Statische codeanalyse<br />
– <strong>Security</strong> test<strong>in</strong>g<br />
• Language-based security<br />
– Safety<br />
– Language-based access<br />
control<br />
– Informatieflowanalyse<br />
• Ethiek van software security
Cursus Software security<br />
Oorzak<strong>en</strong> security-problem<strong>en</strong><br />
• Connectivity, ext<strong>en</strong>sibility, complexity<br />
• 50% implem<strong>en</strong>tation-level bugs, 50% design-level flaws<br />
Number of vulnerabilities<br />
7,000<br />
6,000<br />
5,000<br />
4,000<br />
3,000<br />
2,000<br />
1,000<br />
0<br />
1995<br />
1996<br />
1997<br />
1998<br />
1999<br />
2000<br />
2001<br />
2002<br />
2003<br />
2004<br />
2005<br />
2006<br />
2007<br />
2008<br />
2009<br />
2010<br />
2011<br />
2012<br />
Year
Cursus Software security<br />
Beste practices
Cursus Software security<br />
Vulnerabilities<br />
• Meest voorkom<strong>en</strong>de kwetsbaarhed<strong>en</strong><br />
met grote impact<br />
– SQL <strong>in</strong>jection<br />
– buffer overflow<br />
– path manipulation<br />
– command <strong>in</strong>jection<br />
– cross-site script<strong>in</strong>g (XSS)<br />
– HTTP response splitt<strong>in</strong>g<br />
…<br />
OWASP TOP 10
Cursus Software security<br />
Buffer overflow<br />
• Arrays <strong>in</strong> C/C++<br />
user data<br />
1 2 3 4 5 6 7 8 X<br />
char <strong>in</strong>voer[8]<br />
system data<br />
returnadres<br />
programma<br />
code
Cursus Software security<br />
Vulnerabilities <strong>in</strong> webapplicatie
Cursus Software security<br />
Cross-site script<strong>in</strong>g
Cursus Software security<br />
Cross-site script<strong>in</strong>g
Cursus Software security<br />
Statische codeanalyse: Fortify
Cursus Software security<br />
Statische codeanalyse
Cursus Software security<br />
Language-based access control<br />
• Java security<br />
– Sandbox<br />
– Code sign<strong>in</strong>g<br />
– <strong>Security</strong> policies
Ag<strong>en</strong>da<br />
• Onderwijs<br />
– <strong>Security</strong> <strong>en</strong> IT<br />
– Software security<br />
– CPP IT security <strong>en</strong>g<strong>in</strong>eer<br />
• Onderzoek<br />
– afstudeeropdracht<strong>en</strong><br />
– promotie-<strong>onderzoek</strong><strong>en</strong><br />
– post-doc <strong>onderzoek</strong><br />
26
CPP IT <strong>Security</strong> Eng<strong>in</strong>eer<br />
• Gebaseerd op <strong>Security</strong> <strong>en</strong> IT <strong>en</strong> Software security<br />
• Talrijke extra’s<br />
– uitvoerige begeleid<strong>in</strong>g (19 bije<strong>en</strong>komt<strong>en</strong>)<br />
– extra onderwerp<strong>en</strong> (aansluit<strong>en</strong>d op actualiteit)<br />
– practica
Ag<strong>en</strong>da<br />
• Onderwijs<br />
– <strong>Security</strong> <strong>en</strong> IT<br />
– Software security<br />
– CPP IT security <strong>en</strong>g<strong>in</strong>eer<br />
• Onderzoek<br />
– afstudeeropdracht<strong>en</strong><br />
– promotie-<strong>onderzoek</strong><strong>en</strong><br />
– post-doc <strong>onderzoek</strong><br />
28
Onderzoek<br />
• Afstudeeropdracht<strong>en</strong><br />
– BPM&IT afstudeerders<br />
• Promotie-<strong>onderzoek</strong><strong>en</strong><br />
– gedistribueerd virtueel security lab<br />
– digitaal betal<strong>in</strong>gsverkeer<br />
– smart grids<br />
• Post-doc <strong>onderzoek</strong><br />
29
Afstudeer<strong>onderzoek</strong><br />
Afstudeeropdracht<strong>en</strong> BPM&IT<br />
Organisatie <strong>en</strong> beheer<br />
– De organisatie van botnetbestrijd<strong>in</strong>g <strong>in</strong><br />
Nederland (Timo Schless; 2013)<br />
– <strong>Security</strong>-beleid <strong>en</strong> maatregel<strong>en</strong> rondom<br />
BYOD <strong>en</strong> de <strong>in</strong>vloed op de privacy van<br />
werknemers (André Schild; 2013)<br />
– Cyberbeveilig<strong>in</strong>g als bedrijfsproces<br />
(Gert-Jan Schout<strong>en</strong>; 2013)<br />
Social <strong>en</strong>g<strong>in</strong>eer<strong>in</strong>g<br />
– Onl<strong>in</strong>e h<strong>en</strong>gel<strong>en</strong> zonder vergunn<strong>in</strong>g:<br />
mogelijkhed<strong>en</strong>, effectiviteit <strong>en</strong> acceptatie<br />
van maatregel<strong>en</strong> teg<strong>en</strong> phish<strong>in</strong>g <strong>in</strong><br />
f<strong>in</strong>anciële sector (Ko<strong>en</strong> Dreijer; sep.<br />
2012)<br />
– Beveilig<strong>in</strong>g teg<strong>en</strong> social <strong>en</strong>g<strong>in</strong>eer<strong>in</strong>g bij<br />
de Limburgse geme<strong>en</strong>t<strong>en</strong> (Jack van der<br />
Goes; dec. 2012)<br />
<strong>Security</strong> van cloud comput<strong>in</strong>g<br />
• Beweegred<strong>en</strong><strong>en</strong> van overheidsorganisaties<br />
voor outsourc<strong>in</strong>g naar cloud comput<strong>in</strong>g <strong>en</strong><br />
de effect<strong>en</strong> op de <strong>in</strong>formatiebeveilig<strong>in</strong>g<br />
(R<strong>en</strong>é van Giersberg<strong>en</strong>; 2013)<br />
• Risico’s door de cloud: organisatorische <strong>en</strong><br />
juridische aandachtspunt<strong>en</strong> <strong>en</strong><br />
maatregel<strong>en</strong><br />
(Yvonne van Boxmeer; apr. 2012)<br />
• Databeveilig<strong>in</strong>g <strong>in</strong> de cloud: maatregel<strong>en</strong><br />
<strong>en</strong> aandachtspunt<strong>en</strong> voor IaaS cloud<br />
comput<strong>in</strong>g<br />
(Jero<strong>en</strong> Verhoev<strong>en</strong>; jun. 2012)<br />
• Technische impact van hybride cloud<br />
comput<strong>in</strong>g op IAM (Gert Kiewiet; dec.<br />
2011)<br />
• Succesfactor<strong>en</strong> voor implem<strong>en</strong>tatie van<br />
cloud IAM (Tim Piepers; 2013)<br />
30
Promotie<strong>onderzoek</strong><br />
Gedistribueerd virtueel security lab<br />
• J<strong>en</strong>s Haag (buit<strong>en</strong>promov<strong>en</strong>dus)<br />
• Uitbreid<strong>en</strong> van virtuele security lab (stand-alone) naar<br />
gedistribueerd virtueel security lab<br />
stud<strong>en</strong>t<br />
virtual <strong>in</strong>ternet<br />
doc<strong>en</strong>t stud<strong>en</strong>t<br />
31
Promotie<strong>onderzoek</strong><br />
Architectur<strong>en</strong>: dec<strong>en</strong>traal/c<strong>en</strong>traal<br />
VH VH<br />
UNIX-Socket<br />
UML-Switch<br />
VH VH<br />
GH<br />
GH UNIX-Socket<br />
RBE RBE UML-Switch<br />
32
Promotie<strong>onderzoek</strong><br />
Toepass<strong>in</strong>g <strong>in</strong> <strong>onderwijs</strong><br />
• Inzet bij cursuss<strong>en</strong><br />
– Welke opdracht<strong>en</strong>; wat v<strong>in</strong>d<strong>en</strong> stud<strong>en</strong>t<strong>en</strong> ervan?<br />
• Automatische feedback/grad<strong>in</strong>g<br />
33
Promotie<strong>onderzoek</strong><br />
Digitaal betal<strong>in</strong>gsverkeer<br />
K<strong>en</strong>nisprogramma Veiligheid Digitaal Betal<strong>in</strong>gsverkeer (KVDB)<br />
• doel: verbeter<strong>en</strong> van veiligheid, beveilig<strong>in</strong>g <strong>en</strong> vertrouw<strong>en</strong> <strong>in</strong><br />
digitale betal<strong>in</strong>gsverkeer<br />
• sam<strong>en</strong>werk<strong>in</strong>g tuss<strong>en</strong> bank<strong>en</strong>, justitie <strong>en</strong> universiteit<strong>en</strong><br />
• <strong>in</strong>terdiscipl<strong>in</strong>air <strong>onderzoek</strong> op 4 deelgebied<strong>en</strong> (4 AIO’s)<br />
– crim<strong>in</strong>ologie/politiekunde<br />
– psychologie<br />
– <strong>in</strong>formatica<br />
– rechtswet<strong>en</strong>schap<br />
34
Promotie<strong>onderzoek</strong><br />
Digitaal betal<strong>in</strong>gsverkeer<br />
• Sv<strong>en</strong> Kiljan (AIO)<br />
• Technische beveilig<strong>in</strong>g van digitaal betal<strong>in</strong>gsverkeer<br />
– beveilig<strong>in</strong>g<br />
– bruikbaarheid van de beveilig<strong>in</strong>g<br />
• Plan<br />
– verk<strong>en</strong>n<strong>in</strong>g van gebruikte technische pr<strong>in</strong>cipes<br />
– analyse of pr<strong>in</strong>cipes voldo<strong>en</strong>de veiligheid bied<strong>en</strong><br />
– ontwerp van veilige(re) oploss<strong>in</strong>g<strong>en</strong><br />
– evaluatie van toekomstige verbeter<strong>in</strong>g<strong>en</strong><br />
35
Promotie<strong>onderzoek</strong><br />
Smart grids<br />
• Carlos Montes Portela (buit<strong>en</strong>promov<strong>en</strong>dus )<br />
• Elektriciteitsvoorzi<strong>en</strong><strong>in</strong>g nu: statisch <strong>en</strong> voorspelbaar<br />
– aanbod volgt vraag: van c<strong>en</strong>trales naar verbruikers<br />
– elektriciteitsnett<strong>en</strong> ontworp<strong>en</strong> voor piekbelast<strong>in</strong>g<br />
• Elektriciteitsvoorzi<strong>en</strong><strong>in</strong>g <strong>in</strong> toekomst: dynamisch <strong>en</strong> onvoorspelbaar<br />
– vraag volgt aanbod: dec<strong>en</strong>trale productie, andere vraag<br />
– dynamische, duurzame productie (weersafhankelijk)<br />
36
Promotie<strong>onderzoek</strong><br />
Smart grid<br />
• Netwerk met compon<strong>en</strong>t<strong>en</strong> <strong>en</strong> technologieën die<br />
– <strong>in</strong>formatie beschikbaar mak<strong>en</strong> over toestand <strong>en</strong><br />
<strong>en</strong>ergiestrom<strong>en</strong> <strong>in</strong> het netwerk<br />
– <strong>en</strong>ergiestrom<strong>en</strong> stuurbaar mak<strong>en</strong><br />
• Onderzoek naar ICT-architectuur voor smart grid:<br />
functionaliteit + privacy + security<br />
37
Promotie<strong>onderzoek</strong><br />
Smart grid: privacy <strong>en</strong> security by design<br />
38
Promotie<strong>onderzoek</strong><br />
Smart grid<br />
• voorbeeld<br />
39
Post-doc <strong>onderzoek</strong><br />
Formele verificatie<br />
• Freek Verbeek (post-doc) <strong>en</strong> Juli<strong>en</strong> Schmaltz (UD)<br />
• EURO-MILS project (Multiple Indep<strong>en</strong>d<strong>en</strong>t Level of <strong>Security</strong>)<br />
– Europees consortium van 14 partners<br />
(8 bedrijv<strong>en</strong>, 3 <strong>onderzoek</strong><strong>in</strong>stitut<strong>en</strong>, 3 universiteit<strong>en</strong>)<br />
• Onl<strong>in</strong>e embedded system<strong>en</strong> <strong>in</strong> kritische system<strong>en</strong><br />
(avionica <strong>en</strong> automotive)<br />
– vereist juiste mix van security <strong>en</strong> safety maatregel<strong>en</strong><br />
– security architectuur gebaseerd op mechanism<strong>en</strong> voor<br />
separatie (virtualisatie) <strong>en</strong> gecontroleerde <strong>in</strong>formatiestrom<strong>en</strong><br />
– OU: formele verificatie t<strong>en</strong> behoeve van security certificer<strong>in</strong>g
Afrond<strong>in</strong>g<br />
• <strong>Security</strong>: spann<strong>en</strong>d, relevant <strong>en</strong> actueel<br />
• Meer wet<strong>en</strong>?<br />
– Volg <strong>onderwijs</strong>!<br />
– <strong>Security</strong> <strong>en</strong> IT, Software security, CPP IT security <strong>en</strong>g<strong>in</strong>eer<br />
• Zelf <strong>onderzoek</strong> do<strong>en</strong>?<br />
– Doe e<strong>en</strong> afstudeer- of promotie<strong>onderzoek</strong>!<br />
– Master BPM&IT, CS of SE<br />
41
Change language