Wie man *nicht* zum Thema auf der DefCon wird...

03.02.2024

Ich habe auch vergangenes Jahr wieder einen Vortrag zum 37c3 eingereicht, der aber leider nicht angenommen wurde...

Dieser Vortrag handelte von den Fallstricken bei der Validierung von x.509 Zertifikaten. Auf die Idee kam ich, als ich sah, dass bei der '23-er DefCon gleich mehrere Vorträge dieses Thema behandelten und Fehler präsentierten, die in freier Wildbahn gefunden wurden.

Die Präsentation, die ich halten wollte, kann man hier finden.

In der Präsentation wird auf ein weiteres Repository verwiesen, in dem ich eine Skriptsamlung pflege. Diese Skripte kann man nutzen, um eine Reihe fehlerhafter Zertifikate zu erzeugen, mit denen man die eigene Lösung auf ihre Reaktionen testen kann.

Dieses Repository werde ich sicher über die nächsten Wochen und Monate weiter ausbauen - es kann sich also lohnen, immer mal wieder reinzuschauen...

Artikel, die hierher verlinken

Minimierung von Angriffsoberflächen in Java

09.03.2024

Ich habe in einem früheren Artikel darauf hingewiesen, dass Java (17) und Python (3.10) sich bei der Validierung von x509-Zertifikaten ein wenig unterscheiden. Einer der Unterschiede ist die Schwelle, ab der Schlüssel wegen zu geringer Länge als unsicher bewertet und die damit verbundenen Zertifikate abgelehnt werden.

Validierung elektronischer Client-Zertifikate

03.02.2024

Ich habe bereits über meinen nicht angenommenen Vortrag auf dem 37c3 berichtet. Diese Einreichung geschah nicht, um meinem Ego zu schmeicheln, oder nur um mal in einem Internetvideo aufzutreten. Ich verfolge die daraus entstandene Idee weiter, Möglichkeiten zu schaffen und anzubieten, um Implementierungen, die auf X509 Zertifikaten beruhen, verlässlich zu testen.

Alle Artikel rss Wochenübersicht Monatsübersicht Github Repositories Gitlab Repositories Mastodon Über mich home xmpp


Vor 5 Jahren hier im Blog

  • Brian May, Kerry Ellis & Vittorio Grigolo: Bohemian Rhapsody

    19.05.2019

    Eine andere Sicht auf den schönen Queen-Klassiker

    Weiterlesen...

Neueste Artikel

  • sQLshell, SQLite und Redis - oh my!

    Ich habe in letzter Zeit hin und wieder mit der sQLshell und SQLite herumgespielt - Neulich wurde ich gefragt, ob die sQLshell eigentlich auch Redis kann...

    Weiterlesen...
  • bad-certificates Version 3.0.0

    Das bereits vorgestellte Projekt zur automatisierten Erzeugung von Zertifikaten mit allen möglichen Fehlern wurde um eine weitere Kategorie von Zertifikaten erweitert

    Weiterlesen...
  • Erste Vor-Version eines Gis-Plugin für die sQLshell

    Wie bereits in einem früheren Artikel erwähnt plane ich, demnächst ein Plugin für die sQLshell anzubieten, das eine Visualisierung von Daten mit räumlichem Bezug im Stil eines Geoinformationssystems erlaubt.

    Weiterlesen...

Manche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.

Wer daran teilhaben und eventuell sogar davon profitieren möchte, muß damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.

Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...

PS: Meine öffentlichen GitHub-Repositories findet man hier - meine öffentlichen GitLab-Repositories finden sich dagegen hier.