LDAP ist (leider) immer noch an vielen stellen der De-Facto-Standard im EnTeRpRiSe wenn es um "Single-Sign-On" geht. Der Mix aus Legacy, Rückwertkompatibilität und komplexen Standards macht alles aber noch schlimmer als gedacht.

Ein Verkettung von unglücklichen Umständen, Rückwertkompatibilität und das Fingerpointing aller beteiligten haben zu einer Sicherheitslücke bei meinem Arbeitgeber geführt an der niemand so richtig schuld war, der aber darin endete, dass ich die Chats aller Mitarbeiter lesen könnte und mich bei einigen Diensten als beliebiger Nutzer ohne Password anmelden könnte.

In dem Talk erzähle ich die Geschichte, wie ich die Lücke gefunden habe, wie die Betroffene damit umgegangen sind, erkläre wie es überhaupt so weit kommen konnte und rede darüber, was man mittlerweile alles besser machen kann und sollte.

https://creativecommons.org/licenses/by-sa/4.0/

about this event: https://talks.mrmcd.net/2025/talk/LYM88K/