Security/Wireless: WPA2-KRACK-Leak

Wofür steht KRACK?

Die Abkürzung KRACK steht für Key Reinstallation Attack, was das Verfahren des Angriffs beschreibt.

Wie funktioniert der Angriff?

Wie einige von Ihnen vermutlich schon mitbekommen haben, ist jüngst eine schwerwiegende Sicherheitslücke in der Implementierung des WPA2-Standards bekannt geworden, die es Angreifern ermöglicht, den Encryption-Key für den Traffic​ innerhalb des 4-Way-Handshakes abzufangen, auszunullen und dadurch lesbar zu machen. „Security/Wireless: WPA2-KRACK-Leak“ weiterlesen

Dateilose Malware DoublePulsar: Angriff via SMB

Aktuell kursiert eine dateilose Malware mit Namen DoublePulsar​, die – nicht zuletzt aufgrund von durch die NSA zurückgehaltenen Exploits – einfach Systeme via SMB-Protokoll auf TCP-Port 445 mit weiterem Schadcode versorgt. Es handelt sich dabei um einen sehr versteckt agierenden Malware-Downloader, der auf bereits infizierten Systemen einfach Malware nachladen kann. Die Schwachstelle und Scripte sind auf GitHub verfügbar, sodass mittlerweile auch Script-Kiddies einfachen Zugang dazu erhalten. „Dateilose Malware DoublePulsar: Angriff via SMB“ weiterlesen

Deep Web, Darknet und Dark Web

In den Medien tauchen immer wieder die Begriffe Darknet, Dark Web und Co. auf – meist begleitet von einem unheilvollen Hintergrund, in der Regel geht es um Kriminalität. Von unsicheren Netzen, von Drogendeals 2.0 und Waffenhandel ist oft die Rede. Doch was ist das eigentlich? Ist es wirklich so gefährlich, wie oft angenommen wird? „Deep Web, Darknet und Dark Web“ weiterlesen

Schneller netzwerken: IEEE 802.3bz wurde verabschiedet

Um bestehende Kupferverkabelungen auf Basis von 1000BASE-T (mind. CAT-5e bzw. CAT-6) für höheren Durchsatz nutzen zu können und im verkabelten Netz gegenüber den (theoretisch) deutlich höheren Durchsatzraten im WLAN aufzuholen, wurde nun der Standard 802.3bz von der IEEE verabschiedet. Möglich sind bei Geräten, die diesem Standard entsprechen, Datenraten von 2,5GBit/s und 5GBit/s auf Basis von Kupferkabeln. Was bedeutet das?

„Schneller netzwerken: IEEE 802.3bz wurde verabschiedet“ weiterlesen

NetScaler Gateway: SSL-VPN CCU Lizenzen: Limitierung verringert / aufgehoben

Citrix hat es endlich gewagt!

Wir haben schon lange in etlichen internen Runden darauf gedrängt, und auch die ersten positiven Signale (natürlich streng vertraulich) bereits im Sommer zurückbekommen. Und jetzt ist es endlich offiziell: Citrix lockert die SSL-VPN Lizenzierung auf. Bisher konnten wir trotz der Investition in Citrix NetScaler Standard oder Enterprise Lizenzen nur 5 Concurrent User SSL-VPN nutzen. Weitere User mussten separat per NetScaler Gateway Universal License lizenziert werden oder aus XenApp / XenDesktop Platinum übernommen werden. Einzig die NetScaler Platinum Lizenz hat 100 CCU SSL-VPN mitgebracht.

„NetScaler Gateway: SSL-VPN CCU Lizenzen: Limitierung verringert / aufgehoben“ weiterlesen

How To: decrypt SSL / HTTPS with Wireshark

Heute möchte ich kurz auf ein wichtiges Tool beim Troubleshooting für HTTPS Anwendungen eingehen. Ich habe in letzter Zeit zu oft Kunden getroffen, die nicht die gesamte Kommunikationskette verschlüsseln, um im Fehlerfall weiter per Wireshark mitlesen zu können. Mit der richtigen Anleitung ist es aber gar nicht so kompliziert auch SSL / HTTPS gesicherten Verkehr zu entschlüsseln.

„How To: decrypt SSL / HTTPS with Wireshark“ weiterlesen

Krypto-Trojaner Locky, Cryptowall und Co.

Seit einigen Wochen bis wenigen Monaten kursieren sehr unangenehme Krypto-Trojaner wie Locky, TeslaCrypt, Cryptowall und seit kurzem auch ein Erster für MacOS. Im folgenden Text finden Sie Informationen und Handlungsempfehlungen, die helfen, sich möglichst gut gegenüber den neuen Schädlingen abzusichern. Dabei spielen das Bewusstsein und eine gute Sicherheitsinformationspolitik im Unternehmen eine wichtige Rolle neben den technischen Schutzmaßnahmen.

„Krypto-Trojaner Locky, Cryptowall und Co.“ weiterlesen

Kerberos Verkehr im Netzwerk-Trace

Im letzten Blogpost habe ich schon etwas über die theoretischen Kerberos Grundlagen geschrieben. Jetzt möchte ich noch einmal technisch zeigen, was genau bei einer Kerberos Anmeldung passiert. Dafür nutze ich einen einfachen Netzwerk Trace von einer NetScaler Appliance in unserem Demo Center und öffne diesen mit Wireshark.

Zuerst möchte ich die nötigen DNS Abfragen kontrollieren.

  • Dafür filtere ich den Trace, um nur „DNS“ Verkehr auszuwerten.
  • Zuerst suchen wir DNS Abfragen für „SRV_kerberos.tcp.Domainname“

ConsultingLounge_Kerb

  • Im weiteren Verlauf dann die entsprechenden Responses bis zur Auflösung der IP-Adresse des Domänen Controllers

ConsultingLounge_Kerb160303093245

ConsultingLounge_Kerb160303085009

Nachdem wir die DNS Auflösung kontrollieren konnten, können wir direkt den Kerberos Verkehr prüfen.

  • Dafür Filtere ich den Trace, um nur „kerberos“ Verkehr auszuwerten.

ConsultingLounge_Kerb160303085436

 

 

  • Jetzt bekommen wir die gesamte Kerberos Kommunikation auf dem Silbertablett präsentiert…

ConsultingLounge_Kerb160303085455

 

 

 

PortQRY: Ein Hilfsmittel zum AD-Troubleshooting

In verteilten Active Directory-Umgebungen mit mehreren Standorten tauchen regelmäßig immer wieder die folgenden „Klassiker“ unter den gemeldeten Problemen auf:
  • Replikationsstörungen zwischen den Standorten
  • Probleme bei standortübergreifender Namensauflösung (DNS, sowie NetBIOS (WINS))
  • Probleme bei der Anmeldung
  • etc.
Schnell ist man geneigt, in den Eventlogs der beteitilgten Server zu suchen bzw. bekannte Bordmittel wie „DCDiag“, „NetDiag“ oder „Replmon“ zu bemühen. Oft wird man dort auch fündig, gerade wenn es um die Konnektivität zwischen Standorten oder DCs in verschiedenen Subnetzen geht. Woher diese Verbindungsprobleme letztendlich rühren, verraten die Ausgaben dieser Tools aber oft nicht, oder nur „höchst verklausuliert“.

„PortQRY: Ein Hilfsmittel zum AD-Troubleshooting“ weiterlesen

HP W-LAN-Controller (MSM-Series): Backup/Restore via CLI

Um bei totalem Verbindungsverlust den WLAN-Controller der HP MSM-Seie zurückzusetzen, sind drei Befehle notwendig:

CLI(config)# config-update uri ftp://User:Passwort@IP-Adresse
CLI(config)# config-update operation restore|backup
CLI(config)# config-update start

Der erste CLI-Befehl setzt den ftp-Server mit Username & Passwort innerhalb der ftp-Anfrage-URI (Uniform Resource Identifier). Der zweite CLI-Befehl besagt, dass aus einem Backup wiederhergestellt werden soll oder ein Backup angelegt werden soll. Standard-Einstellung ist „restore“. Der letzte Befehl sagt aus, dass das Backup zurückgespielt werden soll und startet gleichzeitig den Vorgang.

Natürlich ist mit Verbindungsproblemen bez. der SSiDs zu rechnen – vor allem, wenn im vorherigen Backup andere Einstellungen in den VSCs (Virtual Service Communities) gesetzt waren.