INNOQ Security Podcast

By INNOQTechnology

INNOQ Security Podcast episodes

June 16, 2021TLS richtig konfigurieren
Mehr als Copy & Paste
Der INNOQ Security Podcast zu TLS
Der INNOQ Security Podcast zu CAs und Let's Encrypt
Übersicht über die möglichen TLS Cipher Suites
TLS 1.1 und 1.2 sind obsolet
Diffie-Hellman Key Exchange im Video erklärt
Perfect Forward Secrecy (PFS)
Caddy Server Session Ticket Key Rotation
Chrome nimmt HTTPS an
HTTPS Everywhere
Strict-Transport-Security Header (HSTS)
HSTS Preload List
Mozilla Observatory: Online und als CLI
Mozilla SSL Configuration Generator und Server Side TLS Recommendations
Falls ihr Fragen oder Anregungen habt, schreibt uns gerne eine E-Mail an [email protected].
1 hr 2 min
May 25, 2021Input Validation, Output Encoding
Keine Kür, sondern Pflicht
OWASP Top 10 Proactive Controls - C4: Encode and Escape Data und C5: Validate All Inputs
MITRE Common Weakness Enumeration - CWE-20: Improper Input Validation
OWASP Input Validation Cheat Sheet
OWASP Cross Site Scripting Prevention Cheat Sheet
XSS: Beating HTML Sanitizing Filter und das OWASP XXS Filter Evasion Cheat Sheet
Relevante Email-Adressen RFCs und Beispiele für problematische E-Mail-Adressen
Nicht vertrauenswürdiger Input lauert überall
Namen, die nicht einfach zu validieren sind
Falls ihr Fragen oder Anregungen habt, schreibt uns gerne eine E-Mail an [email protected].
36 min
April 13, 2021Passwörter
Eintrittskarten im Netz
BruteForce Passwort Cracker John the ripper und Hashcat
';--have i been pwned? und Pwned Passwords
Timing-Angriffe beim String Vergleich
fail2ban
Unsere Podcast-Folgen zu OpenID und OAuth-Folgen
Vortrag: Password123!
Pepper hat bei Dropbox eine andere Bedeutung als sonst üblich
scrypt im Vergleich zu BCrypt und PBDKF2
Argon2(id) und der Password-Hashing-Contest
Probleme mit sign-in-with-apple
OWASP Empfehlungen zum Speichern von Passwörtern
Empfehlungen der NIST (leicht verständliche Zusammenfassung).
Feedback
Falls ihr Fragen oder Anregungen habt, schreibt uns gerne eine E-Mail an [email protected].
57 min
March 22, 2021Sondersendung: Exchange
Der Exploit „ProxyLogon“
Exchange Hack
Was ist wann passiert?
Microsoft veröffentlicht einen Patch
Mitigation-Tool von Microsoft
Die Sicherheitslücke: ProxyLogon
Mehr als eine Hackergruppe nutzt die Sicherheitslücke aus bevor ein Patch verfügbar ist
Bereits gehackte Exchange-Installationen werden von anderen Hackern übernommen
Eine Woche nach der Veröffentlichung des Patches sind immer noch mehr als 100.000 Server verwundbar
Microsoft/Github entfernt einen PoC-Exploit
PoC-Exploit auf Twitter
Die Sicherheitslücke wird für Krypto-Miner genutzt
Die Sicherheitslücke wird für Ransomware genutzt
Full-/Responsible Disclosure
Die Full-Disclosure Mailingliste (Archive)
Bruce Schneier über Full Disclosure
Google Project Zero Vulnerability Disclosure FAQ
Das Original Paper zu Responsible Disclosure
IETF Vorschlag für Responsible Disclosure
Attribution
Schwierigkeiten bei der Attribution von Hacks (PDF)
Attribution im Umfeld des Solarwinds Hacks
Feedback
Falls ihr Fragen oder Anregungen habt, schreibt uns gerne eine E-Mail an [email protected].
41 min
December 28, 2020Jahresend-Mix 2020
Unsere persönlichen Security-Learnings des Jahres
OWASP Command Injection
Software Architektur im Stream mit Lisa und Christoph
ADFS OpenID Connect
Threat Modelling Manifesto
CanIUse Same Site Cookie
Scott Helme CSRF is dead
Wikipedia OCSP
Webkit Blog zu ITP
The Verge - "Apple updates Safari’s anti-tracking tech with full third-party cookie blocking"
CTF OWASP Juice Shop
SANS Holiday Hack Challenge 2020
Hacker101 CTF
PHC String Format
Larysa über MLOps im INNOQ Podcast
ML Data Poisoning
HitbConference - Reverse Engineering Machine Learning Models - Kang Li
Online Security Header Scanner
INNOQ Blogpost zu CSP
Another Week At The Office
OWASP Snakes and Ladders
OWASP Cornucopia eCommerce
LINDDUN GO Online Edition
Elevation of Privilege Card Game
Alexa Threat Modelling EoP
GDPR Chapter 6
OWASP CSRF Cheat Sheet
Feedback
Falls ihr Fragen oder Anregungen habt, schreibt uns gerne eine E-Mail an [email protected].
35 min
December 21, 2020OpenID Connect und SSO
Ausweise im Netz
Die OpenID Connect Homepage
Die Core-Spec
Discovery und Dynamic Client Registration
Session Management, Front-Channel Logout, Back-Channel Logout
JOSE, JWT, JWS, JWE und JWK
Identity Management und SSO
Feedback
Falls ihr Fragen oder Anregungen habt, schreibt uns gerne eine E-Mail an [email protected].
1 hr 11 min
November 30, 2020OAuth(2)
Vollmachten im Netz
OAuth 1.0
Die OAuth 1.0 Spec: RFC5849
OAuth and the Road to Hell -- nur noch über die Wayback Machine verfügbar
Die OAuth 2.0 Homepage
OAuth 2.0
OAuth 2.0 Core Spec: RFC 6749
Bearer Token Usage: RfC 6750
Token Introspection: RFC 7662
Discovery: RFC 8414
OAuth 2.0 Threat Model und Security Best Practice
OAuth 2.1
Übersicht OAuth 2.1
Software
Open Source: Keycloak, ORY Hydra, Glewlwyd
Kommerziell: Red Hat Single Sign-On, Okta, Auth0
Feedback
Falls ihr Fragen oder Anregungen habt, schreibt uns gerne eine E-Mail an [email protected].
1 hr 36 min
November 09, 2020AAAAA
Authentisierung, Authentifizierung, Autorisierung, Access-Control, Audit
Links
Authentisierung vs. Authentifizieren
Zwei-Faktor-Authentisierung
Das Kapitel Access Control aus Ross Andersons Buch Security Engineering
Role-Based Access Controls
Comparison of Access Control Administration Models
Das FreeBSD Capsicum Projekt
Die object-capabilty Programmiersprache E
Feedback
Falls ihr Fragen oder Anregungen habt, schreibt uns gerne eine E-Mail an [email protected].
53 min
September 21, 2020Steganografie
Alles muss versteckt sein
Gewinnspiel
Alles was ihr zum Gewinnspiel wissen müsst, findet ihr hier.
Links
Das Buch Steganographia
Steganogramm in einem Song von Aphex Twin
Steganogramm im Soundtrack von DOOM
The information hiding homepage und das Buch dazu
Docker Image mit allerlei Tools zum Erstellen und Auffinden von Steganogrammen
Steganogramme auffinden im Kontext von CTFs
Feedback
Falls ihr Fragen oder Anregungen habt, schreibt uns gerne eine E-Mail an [email protected].
40 min
August 11, 2020CAs und Let’s Encrypt
Wer zertifiziert hier eigentlich wen?
Die großen CAs
Glossar CA Begrifflichkeiten
Open-Source-Software zum Betrieb einer CA/PKI: Boulder, OpenXPKI, EJBCA
CACert
Let’s Encrypt
RFC ACME Protokoll
Certbot
CA/Browser Forum
Baseline Requirements (PDF)
Certificate Transparency - und der zugehörige RFC
Mark Shuttleworth
Thwate
1 hr 14 min