Mit Vorträgen zu Dos-Amplification-Angriffen und die Sicherheit von Cloud-Storage-Clients ging die 22. DFN-Konferenz zu Ende. Für die nächste Ausgabe steht bereits ein Termin fest.
Die 23. DFN-Konferenz kündigte Klaus-Peter Kossakowski am Ende der Veranstaltung für den 9. bis 10. Februar 2016 an. Zuvor gab es noch einen weiteren Vortrag zum Thema Pen Testing, wobei der Fokus in beiden Vorträgen darauf lag, was Kunden beachten sollten, bevor sie Pen Tester engagieren. Offenbar geht es in diesem Bereich reichlich wildwest-artig zu, noch schöner wäre es aber gewesen, hätte ein Kunden seine Pen-Testing-Erfahrungen geschildert.
Felix von Eye zeigte dann, dass DoS Amplification Attacks noch immer relevant sind und was sich dagegen unternehmen lässt. Bei diesen Angriffen antwortet ein Heer von legitimen Diensten wie etwa DNS, NTP und SNMPv2 mit langen Antworten auf die kurze Anfrage eines Servers, die dieser jedoch garnicht gestellt hat. So wird der Server zum Opfer einer DoS-Attacke. Von Eye hat nun mit anderen einen Ansatz entwickelt, um solche Angriffe abzuwehren. Aufgrund der Ähnlichkeiten von Payloads und Paketgrößen in den (kurzen) Fragen und (langen) Antworten lässt sich mit einer gewissen Wahrscheinlichkeit ein Angriff erkennen.
Maximilian Hils von der Uni Münster hatte indes die clientseitige Sicherheit von Owncloud, Dropbox und Google Drive untersucht. Sein Fazit: Nicht immer sei freie Software die sicherste Lösung. Während er dem Owncloud-Client, aber auch den Clients von Dropbox und Google Drive eine hohe Sicherheit bescheinigte, sah er beim Server eine ganze Reihe an Sicherheitslücken gepaart mit einer merkwürdigen Veröffentlichungspolitik. Demnach mache Owncloud Sicherheitslücken erst zwei Wochen nach dem Release von Patches publik.
Allerdings präsentierte Hils vor allem Zahlen aus dem Jahr 2013, was ein anderer Teilnehmer von der TU Berlin, die Owncloud universitätsweit einsetzt, kritisierte. Owncloud habe in diesem Jahr besonders viele Sicherheitsexperten an Bord geholt, diese hätten auch die meisten der Sicherheitslöcher aufgespürt. Er lud Hils ein, seine Bedenken erneut bei der Owncloud-Konferenz in Berlin vorzutragen.
Alles in allem ein rundes Programm für zwei Tage, mit einigen durchschnittlichen Vorträgen, aber auch mit Highlights, über die die Besucher der Veranstaltung beim sozialen Event am ersten Abend lebhaft diskutierten.
