A3 - Sensitive Data Exp

Question 1

Data Exposure

Answer 1

Preisgabe sensibler Daten durch fehlende/unzureichende verschlüsselung, Verwendung von PW-Hashes ohne Salt, Ausgabe von sensiblen Infos

Question 2

Heartbleed

Answer 2

Erlaubt einem Angreifer einen zufälligen Speicherbreich des Server-Prozesses auszulesen (information disclosure). Ermöglichst durch Schwachstelle in bestimmten OpenSSL-Versionen Zugriff auf Session Tokens, PW oder Schlüsselmaterial

Question 3

Wofür SSL

Answer 3

Authentizität (durch Zertifikate)
Integrität (Prüfsumme, durch MAC)
Vertraulichkeit (Verschlüsselung)

Question 4

Mögl Schwachstellen in SSL Konfig

Answer 4

• nicht vertrauenswürdiges Zert.
• veraltetes Zert
• falsches Zert
• Unterstützung von SSLv2
• Unterstützung kurzer Schlüssellämgen, unsicherer Chiffren
• Kompression vor Verschlüsselung
• Veraltete Komponenten