Wie man *nicht* zum Thema auf der DefCon wird...

03.02.2024

Ich habe auch vergangenes Jahr wieder einen Vortrag zum 37c3 eingereicht, der aber leider nicht angenommen wurde...

Dieser Vortrag handelte von den Fallstricken bei der Validierung von x.509 Zertifikaten. Auf die Idee kam ich, als ich sah, dass bei der '23-er DefCon gleich mehrere Vorträge dieses Thema behandelten und Fehler präsentierten, die in freier Wildbahn gefunden wurden.

Die Präsentation, die ich halten wollte, kann man hier finden.

In der Präsentation wird auf ein weiteres Repository verwiesen, in dem ich eine Skriptsamlung pflege. Diese Skripte kann man nutzen, um eine Reihe fehlerhafter Zertifikate zu erzeugen, mit denen man die eigene Lösung auf ihre Reaktionen testen kann.

Dieses Repository werde ich sicher über die nächsten Wochen und Monate weiter ausbauen - es kann sich also lohnen, immer mal wieder reinzuschauen...

Artikel, die hierher verlinken

Minimierung von Angriffsoberflächen in Java

09.03.2024

Ich habe in einem früheren Artikel darauf hingewiesen, dass Java (17) und Python (3.10) sich bei der Validierung von x509-Zertifikaten ein wenig unterscheiden. Einer der Unterschiede ist die Schwelle, ab der Schlüssel wegen zu geringer Länge als unsicher bewertet und die damit verbundenen Zertifikate abgelehnt werden.

Validierung elektronischer Client-Zertifikate

03.02.2024

Ich habe bereits über meinen nicht angenommenen Vortrag auf dem 37c3 berichtet. Diese Einreichung geschah nicht, um meinem Ego zu schmeicheln, oder nur um mal in einem Internetvideo aufzutreten. Ich verfolge die daraus entstandene Idee weiter, Möglichkeiten zu schaffen und anzubieten, um Implementierungen, die auf X509 Zertifikaten beruhen, verlässlich zu testen.

Alle Artikel rss Wochenübersicht Monatsübersicht Codeberg Repositories Mastodon Über mich home xmpp


Vor 5 Jahren hier im Blog

  • Linux Linkdump 2021 I

    18.04.2021

    Ein Linkdump rund um Linux (Container, Virtualisierung,...)

    Weiterlesen

Neueste Artikel

  • Asymmetrische Kryptographie

    Ich habe mich mit der Idee schon länger getragen: Nochmal einen Rundumschlag zu asymmetrischer Kryptographie zu machen. Dabei werde ich mich auf Demonstrationen der einzelnen Konzepte und Operationen mit Beispielcode konzentrieren und zu jedem der vorgestellten Konzepte mehr oder weniger ausführlich bezüglich der Einsatzszenarien und Vor- und Nachteile Stellung beziehen

    Weiterlesen
  • Bullshit in Pressemitteilungen

    Es ist ja nicht so, dass ich der Erste wäre, demn das auffällt - aber es ist schon bemerkenswert, dass inzwischen einfach alles als Nachricht verkauft wird, was irgendeine verwirrte Koksnase als Pressemitteilung rauswirft. In der letzten Woche ist die Frequenz allerdings in einem Maße angestiegen, dass ich mir das mal ein wenig von der Seele schreiben muss - nicht, dass das irgendjemanden interessiert.

    Weiterlesen
  • Der alte weiße Mann erzählt von UNIX-Philosophie

    Ich möchte hier einmal beschreiben, wie wir Probleme früher ressourcenschonend, effizient und mit einem Wissensgewinn als Bonus gelöst haben und werde zeigen, dass das auch heute noch möglich ist.

    Weiterlesen

Manche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.

Wer daran teilhaben und eventuell sogar davon profitieren möchte, muss damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.

Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...

PS: Meine öffentlichen Codeberg-Repositories findet man hier.