windows.developer / dot.Net Magazin - Übersicht 2012

Dipl.-Inform. Carsten Eilers

Startseite

Über mich

Angebotsspektrum

Konferenzen

Texte

About Security
Online-Artikel
Magazin-Artikel

• Entwickler Magazin
      2019
      2018
      2017
      2016
      2015
      2014
      2013
      2012
      2011
      2008-2010
      alle (lang!)
• Mobile Technology
      2019
      2016
      2015
      2014
      2012/2013
      alle (lang!)
• PHP Magazin / PHP User
      2019
      2018
      2017
      2016
      2015
      2014
      2013
      2012
      2011
      2009-2010
      alle (lang!)
• PHP Magazin Workshops
• windows.developer
      2019
      2018
      2017
      2016
      2015
      2014
      2013
      2012
      2008-2011
      alle (lang!)
• Andere Magazine

PHP Magazin Workshops
Aktuelle Bücher
Ältere Bücher

Advisories

zum Blog ...

Impressum

Datenschutzerklärung

Einschränkung der Auswahl

Alle Artikel aus
    2019     2018     2017     2016     2015     2014     2013     2012     2011     2010     2008/2009
oder nur Artikel des
• Entwickler Magazin aus
    2019     2018     2017     2016     2015     2014     2013     2012     2011     2008-2010     alle (lang!)
• Mobile Technology aus
    2019     2016     2015     2014     2012/2013     alle (lang!)
• PHP Magazin / PHP User aus
    2019     2018     2017     2016     2015     2014     2013     2012     2011     2009/2010     alle (lang!)
• windows.developer / dot.Net Magazin aus
    2019     2018     2017     2016     2015     2014     2013     2012     2008-2011     alle (lang!)
• oder der anderen Magazine

---

WebGL – harmful, harmlos oder von beidem etwas?

Microsoft hält WebGL für gefährlich. Stimmt das?

Im windows.developer Magazin 12.2012 ist ein Artikel über die Sicherheit von WebGL erschienen.

Online-Version

Der Artikel ist inzwischen auch online verfügbar: Auf entwickler.de.

Erratum

Leider hat sich in der Tabelle auf Seite 91 ein Druckfehler eingeschlichen. Eine PDF-Datei mit der korrekten Tabelle finden Sie hier als PDF.

Links

• [1] Rafal Wojtczuk, Joanna Rutkowska: "Following the White Rabbit: Software attacks against Intel VT-d technology" (PDF)
• [2] James Forshaw, Context Information Security: "WebGL - A New Dimension for Browser Exploitation"
• [3] WebGL Specification: "4.4 Defense Against Denial of Service"
• [4] ANGLE Project (Almost Native Graphics Layer Engine)
• [5] Context IS Advisory - Remote Code Execution in Firefox's WebGL Implementation
• [6] HTML5: "4.11.4.3 Security with canvas elements"
• [7] WebGL Specification: "4.2 Origin Restrictions"
• [8] Video des Cross-Domain Image Theft Proof-of-Concepts (AVI)
• [9] Khronos: "WebGL Security"
• [10] ARB_robustness
• [11] James Forshaw, Context Information Security: "WebGL - A New Dimension for Browser Exploitation - FAQ"
• [12] James Forshaw, Paul Stone, Michael Jordon; Context Information Security: "WebGL – More WebGL Security Flaws"
• [13] Microsoft Security Research & Defense Blog: "WebGL Considered Harmful"
• [14] MIX 2011: "Graphics and 3D with Silverlight 5"
• [15] 3-D Graphics Overview - Silverlight and 3D Graphics
• [16] Benoit Jacob, Mozilla Hacks: "Cross-domain WebGL textures disabled in Firefox 5"
• [17] WebGL Specification: "4.2 Origin Restrictions"
• [18] W3C: Cross-Origin Resource Sharing
• [19] Eric Bidelman, Chromium Blog: "Using Cross-domain images in WebGL and Chrome 13"
• [20] Benoit Jacob, Mozilla Hacks: "Using CORS to load WebGL textures from cross-domain images"
• [21] Benoit Jacob: "Some aspects of security that have nothing to do with “sandboxing” and “process separation”"
• [22] Khronos Public Bugzilla: Bug 625 - GL_ARB_robustness contradicts itself
• [23] Henri Astre: "How to bypass WebGL Sop restriction"
• [24] Henri Astre: "How to bypass WebGL Sop restriction v2"
• [25] WebGL Public Wiki - Main Page/cms/security

---

Die Sandbox und ihre Sicherheit

Sicher wie eine Festung oder unsicher wie eine Sandburg?

Im windows.developer Magazin 11.2012 ist ein Artikel über die Sicherheit von Sandboxen, insbesondere in Hinsicht auf den in Windows 8 für Windows-8-Apps eingeführten AppContainer, erschienen.

Links

• [1] EricLaw's IEInternals: "Understanding Enhanced Protected Mode"
• [2] Research, Develop, Assess, Consult & Educate; Recx Blog: "Windows 8 App Container Security Notes, Part 1"
• [3] Sébastien Renaud, Kevin Szkudlapski; Hack in the Box Amsterdam 2012: "WinRT: The Metro-politan Museum of Security" (Präsentation als PDF)
• [4] Ming-chieh Pan, Sung-ting Tsai; BlackHat USA 2012: "The Line 8 Subway - Exploitation of Windows 8 Metro Style Apps"
• [5] Carsten Eilers: ""Binary Planting" - Unsichere Suchpfade führen ins Verderben"
• [6] Carsten Eilers: "Angreifern ein Schnippchen schlagen"; dot.Net Magazin 3.2012
• [7] Carsten Eilers: "Sind Schutzfunktionen wie DEP und ASLR überflüssig?"
• [8] Wendy Poland; Adobe Product Security Incident Response Team (PSIRT) Blog: "Security Advisory for Adobe Reader and Acrobat (APSA11-04)"
• [9] Peleus Uhley; Adobe Secure Software Engineering Team (ASSET) Blog: "Flash Player Sandboxing is Coming to Firefox"
• [10] Tom Keetch; BlackHat Europe 2011: "Escaping From Microsoft Windows Sandboxes"
• [11] Paul Sabanal, Mark Yason; BlackHat USA 2011: "Playing In The Reader X Sandbox"
• [12] Guillaume Lovet, Zhenhua Liu; BlackHat Europe 2012: "Breeding Sandworms: How To Fuzz Your Way Out of Adobe Reader's Sandbox"
• [13] Guillaume Delugré: "Bypassing ASLR and DEP on Adobe Reader X"
• [14] Chris Evans, Justin Schuh; Chromium Blog: "Pwnium: rewards for exploits"
• [15] Ryan Naraine: "CanSecWest Pwnium: Google Chrome hacked with sandbox bypass"
• [16] Ryan Naraine: "Pwn2Own 2012: Google Chrome browser sandbox first to fall"
• [17] Ryan Naraine: "Teenager hacks Google Chrome with three 0day vulnerabilities"
• [18] Dan Goodin: "At hacking contest, Google Chrome falls to third zero-day attack (Updated)"
• [19] Jorge Lucangeli Obes, Justin Schuh; Chromium Blog: "A Tale of Two Pwnies (Part 1)"
• [20] Ken Buchanan, Chris Evans, Charlie Reis, Tom Sepez; Chromium Blog: "A Tale Of Two Pwnies (Part 2)"

---

Sicher durch Windows 8

AppContainer, Windows.Security-Namespace und Mitigations im Überblick

Im windows.developer Sonderheft Windows 8 Spezial ist ein Artikel über die Sicherheitsrelevanten Neuerungen von WinRT erschienen.

Es handelt sich um eine aktualisierte und erweiterte Fassung des Artikels aus dem windows.developer Magazin 7.2012, daher auch der identische Titel. In der Zeit seit dem Schreiben des damaligen Artikels wurden sowohl von Microsoft als auch von verschiedenen Sicherheitsforschern diverse neue Informationen veröffentlicht.

Links

• [1] Understanding Enhanced Protected Mode
• [2] Research, Develop, Assess, Consult & Educate ¦ Recx Blog: Windows 8 App Container Security Notes - Part 1
• [3] App Capability Declarations
• [4] Ming-chieh Pan, Sung-ting Tsai; Black Hat USA 2012: "The Line 8 Subway - Exploitation of Windows 8 Metro Style Apps"
• [5] App contracts and extensions
• [6] Windows.Security.Authentication.OnlineId namespace
• [7] Windows.Security.Authentication.Web namespace
• [8] Setting up single sign-on using the web authentication broker
• [9] Windows.Security.Credentials namespace
• [10] Windows.Security.Credentials.UI namespace
• [11] Windows.Security.Cryptography namespace
• [12] Windows.Security.Cryptography.Certificates namespace
• [13] Windows.Security.Cryptography.Core namespace
• [14] Carsten Eilers: Kryptographie ganz praktisch, dot.Net Magazin 4.2008
• [15] Windows.Security.Cryptography.DataProtection namespace
• [16] Carsten Eilers: How to write Secure Code: DPAPI
• [17] Windows.Security.ExchangeActiveSyncProvisioning namespace
• [18] Carsten Eilers: Angreifern ein Schnippchen schlagen, dot.Net Magazin 3.2012
• [19] Steven Sinofsky: Protecting you from malware
• [20] Dan Rosenberg: Defeating Windows 8 ROP Mitigation
• [21] Matt Miller, Ken Johnson; Black Hat USA 2012: "Exploit Mitigation Improvements in Win 8"
• [22] Forbes Higman: Enhanced Memory Protections in IE10
• [23] Chris Valasek, Tarjei Mandt; Black Hat USA 2012: "Windows 8 Heap Internals"
• [24] Windows 8 app certification requirements
• [25] Sebastien Renaud, Kevin Szkudlapski; Hack In The Box Security Conference Amsterdam 2012: "WinRT: The Metro-politan Museum of Security"
  Präsentation (PDF) und Video dazu

---

Sicher in der Microsoft Cloud

Verfügbarkeit, Vertraulichkeit und Integrität im Überblick

Im windows.developer Magazin 10.2012 ist ein Artikel über die Sicherheit von Windows Azure erschienen.

Links

• [1] Carsten Eilers: "Daten in der Cloud, Daten bei der Konkurrenz?"
• [2] Charlie Kaufman, Ramanathan Venkatapathy: "Windows Azure Security Overview" (PDF)
• [3] Carsten Eilers: "About Security #1: IT-Sicherheit — Was ist das eigentlich?"
• [4] Carsten Eilers: "Gesucht: Backup für die Cloud"
• [5] Windows Azure Blog: "Summary of Windows Azure Service Disruption on Feb 29th, 2012"
• [6] Microsoft: "Vereinbarungen zum Servicelevel (SLAs)"
• [7] Joshua Hoffman: "SQL Azure: SQL Azure-Sicherheit"

Hier gibt es weiterführende Informationen zur Entwicklung sicherer Anwendungen für Windows Azure bzw. zur Sicherheit von Windows Azure allgemein:

• [8] Security Resources for Windows Azure
• [9] Technische Übersicht über die Sicherheitsfunktionen in Windows Azure Platform
• [10] White Papers on Windows Azure
• [11] Windows Azure Trust Center
• [12] Michael S. Collier: "Understanding Windows Azure Security"
• [13] Windows Azure Security Guidance für .NET
• [14] Sicherheitsrichtlinien und Einschränkungen (SQL Azure-Datenbank)
• [15] TechNet On: Windows Azure-Security

---

Windows Phone und die Sicherheit

Im windows.developer Magazin 9.2012 ist ein Artikel über die sichere Entwicklung von Smartphone-Apps erschienen.

Den Artikel gibt es auch online auf dotnet.de.

Links

• [1] Security for Windows Phone
• [2] Carsten Eilers: "Microsoft Security Development Lifecycle", windows.developer 4.2012
• [3] Application Certification Requirements for Windows Phone
• [4] Background Agents for Windows Phone
• [5] Isolated Storage Overview for Windows Phone
• [6] Local Database Overview for Windows Phone
• [7] Namespace System.IO.IsolatedStorage
• [8] LINQ to SQL Support for Windows Phone
• [9] Carsten Eilers: "Kryptographie ganz praktisch", dot.Net Magazin 4.2008
• [10] Carsten Eilers: "Sicher durch Windows 8", windows.developer 7.2012
• [11] Namespace System.Security.Cryptography
• [12] Klasse ProtectedData
• [13] SSL Root Certificates for Windows Phone
• [14] Carsten Eilers: "Quo vadis, SSL?", Entwickler Magazin 4.2012
• [15] Web Service Security for Windows Phone
• [16] Setting Up an Authenticated Web Service to Send Push Notifications for Windows Phone
• [17] Application Manifest File for Windows Phone
• [18] How to: Determine Application Capabilities

---

NoSQL, No Security?

Wie sieht es mit der Sicherheit von NoSQL aus?

Im windows.developer Magazin 8.2012 ist ein Artikel über die Sicherheit von NoSQL-Datenbanken erschienen.

Links

• [1] [Security] NOSQL-injection
• [2] MongoDB Developer FAQ: "Do I Have to Worry About SQL Injection"
• [3] Mongodb is vulnerable to SQL injection in PHP at least
• [4] Mongo Security - Request Injection Attacks
• [5] Bryan Sullivan: Server-Side JavaScript Injection: Attacking NoSQL and Node.js
• [6] Felipe M. Aragon: [Full-Disclosure] Syhunt: Time-Based Blind NoSQL Injection
  und Felipe M. Aragon: Time-Based PHP V8JS Injection & NoSQL/SSJS Injection
• [7] Carsten Eilers: About Security #129: Cross-Site Scripting, reloaded
  und About Security #130: DOM-basiertes XSS abwehren
• [8] MongoDB Security and Authentication
• [9] MongoDB Security and Authentication - Running Without Security (Trusted Environment)
• [10] MongoDB Security and Authentication - Mongo Security
• [11] MongoDB Jira: [#SERVER-1105] access control per collection
• [12] Cassandra's Extensible Authentication/Authorization
• [13] Cassandra Security
• [14] Couchdb Wiki: Technical Overview - Security and Validation
• [15] Couchdb Wiki: Security_Features_Overview - Authentication
• [16] Couchdb Wiki: Security_Features_Overview - Authorization
• [17] Interoperability @ Microsoft Blog: Here’s to the first release from MS Open Tech: Redis on Windows
• [18] Redis Security
• [19] Carsten Eilers: 28C3: Eine Konferenz, viele neue Angriffe; Entwickler Magazin 2.2012
• [20] OrientDB: Security
• [21] Basho: Riak Control
• [22] Carsten Eilers: Microsoft Security Development Lifecycle; windows.developer 4.2012
• [23] Eric A. Brewer: Towards Robust Distributed Systems (PDF)
• [24] Seth Gilbert, Nancy Lynch: "Brewer's conjecture and the feasibility of consistent, available, partition-tolerant web services"
• [25] Bryan Sullivan: NoSQL, But Even Less Security: Attacking and Defending NoSQL
  und Bryan Sullivan: NoSQL, But Even Less Security
  und Bryan Sullivan: NoSQL Security Slides

---

Sicher durch Windows 8

AppContainer, Windows.Security-Namespace und Mitigations im Überblick

Im windows.developer Magazin 7.2012 ist ein Artikel über die Sicherheitsrelevanten Neuerungen von WinRT erschienen.

Links

• [1] Understanding Enhanced Protected Mode
• [2] Research, Develop, Assess, Consult & Educate ¦ Recx Blog: Windows 8 App Container Security Notes - Part 1
• [3] App Capability Declarations
• [4] App contracts and extensions
• [5] Windows.Security.Authentication.OnlineId namespace
• [6] Windows.Security.Authentication.Web namespace
• [7] Setting up single sign-on using the web authentication broker
• [8] Windows.Security.Credentials namespace
• [9] Windows.Security.Credentials.UI namespace
• [10] Windows.Security.Cryptography namespace
• [11] Windows.Security.Cryptography.Certificates namespace
• [12] Windows.Security.Cryptography.Core namespace
• [13] Carsten Eilers: Kryptographie ganz praktisch, dot.Net Magazin 4.2008
• [14] Windows.Security.Cryptography.DataProtection namespace
• [15] Carsten Eilers: How to write Secure Code: DPAPI
• [16] Windows.Security.ExchangeActiveSyncProvisioning namespace
• [17] Carsten Eilers: Angreifern ein Schnippchen schlagen, dot.Net Magazin 3.2012
• [18] Steven Sinofsky: Protecting you from malware
• [19] Forbes Higman: Enhanced Memory Protections in IE10
• [20] Dan Rosenberg: Defeating Windows 8 ROP Mitigation

---

Microsoft Security Development Lifecycle

So sorgt Microsoft für sichere Programme

Im windows.developer Magazin 4.2012 ist ein Artikel über Microsofts Security Development Lifecycle erschienen.

Links

• [1] Bill Gates E-Mail zum "Trustworthy Computing"
• [2] Security Development Lifecycle
• [3] SDL Helps Build More Secure Software
• [4] Rückblick auf 6 Jahre Security Development Lifecycle (SDL)
• [5] Simplified Implementation of the Microsoft SDL
• [6] SDL Process: Training
• [7] Clickjacking - Angriffe auf Seiten ohne Schwachstellen
• [8] "Binary Planting" - Unsichere Suchpfade führen ins Verderben
• [9] SDL Process: Requirements
• [10] SDL Process: Design
• [11] SDL Process: Implementation
• [12] SDL Process: Verification
• [13] SDL Process: Release
• [14] Microsoft Security Response Center

---

Angreifern ein Schnippchen schlagen

Microsofts Störfeuer gegen die Ausnutzung von Schwachstellen

Im dot.Net Magazin 3.2012 ist ein Artikel über die sog. "Mitigations" erschienen - Maßnahmen, die die Ausnutzung von Schwachstellen, insbesondere Pufferüberläufen, wenn schon nicht verhindern, so doch zumindest erschweren.

Links

• [1] Shellcode in der Exploit Database
• [2] Security Development Lifecycle (SDL) Banned Function Calls
• [3] MS SDL Blog: Good hygiene and Banned APIs
• [4] Windows ISV Software Security Defenses
• [5] Schalter /GS in Visual Studio
• [6] Data Execution Prevention (DEP)
• [7] Schalter /NXCOMPAT in Visual Studio
• [8] Address Space Layout Randomization ASLR
• [9] Schalter /DYNAMICBASE in Visual Studio
• [10] Schalter /SAFESEH in Visual Studio
• [11] David Litchfield: Defeating the Stack Based Buffer Overflow Prevention Mechanism of Microsoft Windows 2003 Server (PDF)
• [12] Preventing the Exploitation of SEH Overwrites
• [13] MS Security Resarch & Defense Blog: Preventing the Exploitation of Structured Exception Handler (SEH) Overwrites with SEHOP
• [14] MS Security Resarch & Defense Blog: SEHOP per-process opt-in support in Windows 7
• [15] Enhanced Mitigation Experience Toolkit (EMET)
• [16] EncodePointer()
• [17] DecodePointer()
• [18] MS Security Resarch & Defense Blog: New version of EMET is now available

---

Webmaster, webmaster@ceilers-it.de

Letzte Änderung: 04.03.2019, 00:15