Wat zijn ASN-1 parser attacks en hoe bescherm je je er tegen?
Och, even met de hand over het hart strijken voor iemand die klem zit met z'n huiswerk.
Dat gaat over de eerste hack bij de ASN bank (vandaar ASN-1) . Daar werkte een engelse stagiair (Dhr Parser) . Die kreeg zogenaamd een opdracht om routers te beveiligen. Alleen hij had niet zo'n zin in het werk , dus las de opdracht niet goed en liet zo een lek ontstaan - en zakte voor z'n stage. En zo is dat verhaal de ronde gaan doen .
En wat je moet doen om zoiets te voorkomen is goed lezen, controleren of alles begrepen is, en zonodig terugmelden als iets niet klopt. Half lezen en maar wat doen leidt tot problemen.
De codering van de parser wordt vervuild waardoor de sleutels gemanipuleerd worden.
Voor wat worden ASN-q parsers gebruikt? Het klinkt alsof het er is om het nog veiliger te maken klopt dat?
M.a.w. gebruik een goede ASN-1 parser die alles checkt.
Als men weet hoe een parser werkt, dan is het mogelijk om daar misbruik van te maken.
Bijvoorbeeld in een DOM-parser wordt in sommige libraries gebruikt gemaakt van regular-expressions om tags en tekst te onderscheiden. Als je weet hoe regular expressions werken, dan kan je dit filter transcenderen om je doel te bereiken.
Het is daarom van noodzakelijk belang om een validator te gebruiken voor je de parser aanroept. Als voorbeeld, bij libxml kun je gebruik maken van libxslt om met het validatie-schema in xsd de xml te valideren.
Niet voor alle parsers hebben een (goede) validator, dus daarin moet je een wijs besluit maken tijdens software-development.
Validate is het crédo hier om je te beschermen tegen parser-attacks.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Security-engineer IAM
Krijg jij energie van technische vraagstukken op het vlak van Security en Risk? En steek je graag je handen uit de mouwen om zelf een bijdrage te leveren aan een veilige digitale omgeving waarin de data en euro’s van onze klanten worden beheerd. Dan komen we graag met jou in contact.
Senior Security Consultant
Als security consultant bij Cegeka speel je een uitermate belangrijke rol in het veilig houden van de bedrijven in Nederland en de Nederlandse maatschappij. Vandaar ook dat Cegeka dit hoog op de agenda heeft staan. Wij doen dit door, in close cooperation, onze klanten advies te geven op strategisch, tactisch en operationeel niveau.
