Best of 32c327.-30.12.2015

Dr. Mar�n Schmiedecker

32c3

2/14

32c3Themen und Trends:

• Zensur (China, Iran, ...)• akademisch++ (Daniel Bernstein, Univ. of Michigan, ...)• S�lometrie

Medial au�ereitet:• Karsten Nohl, EC Kartenterminals• NSA Untersuchungsausschuss• VW “Dieselgate”

3/14

32c3Bezuge zu Osterreich:

• Staatsschutzgesetz• Max Schrems, Europe vs. Facebook• Leiwandville (Metalab)

4/14

32c3Wie immer:

• DECT / GSM Netzwerk• 40 gbit Internet• Hacker Jeopardy, Fnord Jahresruckblick

Neu am 32c3:• 20gbit DDoS von extern

5/14

32c3Datahavens: From HavenCo to Today

• Ryan Lackey (Cloudflare)• “Failosophy” Prasenta�on

Sealand:• WWII Waffenpla�orm in der Nordsee• zuerst Wifi (PCMCIA), dann Mikrowelle• 2000-2002 in Betrieb

6/14

32c3Sealand - Probleme:

• Bandbreite teuer (256kbit pro Server)• Dotcom Blase geplatzt• schlechte Organisa�on, kein Zahlungsdienstleister, einsam• keine Killer-Anwendung• kein Bitcoin, Virtualisierung, ...

7/14

32c3

8/14

32c3Ramping up Security at an open-source startup (BSidesHH)

• OwnCloud (Firma)• Bugbounty uber HackerOne

Lessons learned:• Fehler werden passieren! Dranbleiben!• rela�v wenig Geld fur kri�sche Schwachstellen istschlecht (max. 370€)• Fokus klar definieren und kommunizieren, Duplikate

9/14

32c3Rowhammer.js: Root privileges for web apps?

• haufiges Lesen von Speicher kann benachbarte Bereicheverandern• Privilege escala�on Angriff• zwei Forscher der TU Graz

Zeitlinie:• Paper uber Bi�lips in DRAM (Juni 2014)• Project Zero baut 2 Exploits (Marz 2015)• Bi�lips in Javascript (Juni 2015) 10/14

32c3Tor onion services: more useful than you think

• .onion TLD• Erreichbar uber z.B. Tor Browser Bundle• nicht nur Silk Road(s)!• Facebook, Wikileaks, SecureDrop, ProPublica• Ricochet (Chat), OnionShare (Dateien)

Features:• Authen�fiziert, verschlusselt, anonym• NAT punching 11/14

32c3Neither Snow Nor Rain Nor MITM. . . The State of EmailSecurity in 2015

• SPF, DKIM & DMARC vermessen• Logs von> 1 Jahr Gmail• STARTTLS in SMTP: MITM Angriff kann es unterdrucken• Tunesien: 96% TLS stripping• > 20%: Irak, Papua Neu Guinea, Nepal, Kenia, Uganda, ...

12/14

32c3Weitere Prasenta�onen:

• Logjam (schwache DH-Gruppen, EXPORT Cipher)• Lets Encrypt• DDoS Mi�ga�on Fails

13/14

Danke fur dieAufmerksamkeit!14/14