SBA Research is a research center for Information Security funded by the national initiative for COMET Competence Centers for Excellent Technologies. We bring together 25 companies, 4 Austrian universities, one university of applied sciences, a non-university research institute, and many international research partners to jointly work on challenges ranging from organizational to technical security.
ISIS @ TU Wien IAIK @ TU Graz DKE @ Uni Wien NM @ WU Wien FH St. Pölten AIT

News

SBA @ OWASP AppSec EU 2015

Thomas Konrad, Severin Winkler and Bernhard Grill are participating at the OWASP AppSec EU 2015. OWASP AppSec conferences bring together industry, government, security researchers, and practitioners to discuss the state of the art in application security. OWASP AppSec EU 2015 takes place in Amsterdam, Netherlands from 19 – 22 May 2015.

Adrian Dabrowski @ IEEE S&P

Adrian Dabrowski presents his paper “Error-Correcting Codes as Source for Decoding Ambiguity” at LangSec Workshop, which is held in conjunction with IEEE Security & Privacy on Thursday May 21, 2015.

Abstract: Data decoding, format, or language ambiguities have been long known for amusement purposes. Only recently, it came to attention that they also pose a security risk. In this paper, we present decoder manipulations based on deliberately caused ambiguities facilitating the error correction mechanisms used in several popular applications. This can be used to encode data in multiple formats or even the same format with different content. Implementation details of the decoder or environmental differences decide which data the decoder locks on. This leads to different users receiving different content based on a language decoding ambiguity. In general, ambiguity is not desired, however in special cases it can be particularly harmful. Format dissectors can make wrong decisions: e.g. a firewall scans based on one format but the user decodes different harmful content. We demonstrate this behavior with popular barcodes and argue that it can be used to deliver exploits based on the software installed, or use probabilistic effects to divert a small percentage of users to fraudulent sites.

Website Paper Slides

@ IEEE S&P

 

 

 

 

 

 

Edgar Weippl, Adrian Dabrowksi, Martina Lindorfer and Stefan Brunthaler @ IEEE S&P

Martina Lindorfer @ GREPSEC II Workshop

Martina attended an NSF and CRA-W/CDC supported workshop for women and underrepresented groups interested in computer security research. The workshop was co-located with IEEE S&P, from May 16 to 17, 2015.

http://www.ieee-security.org/grepsec/

SBA Research auf Ö1

“Was tun, wenn das Handy abgehört werden könnte? Man baut einfach ein Abhör-Abhörgerät. Dieses Projekt hat ein Forscherteam letzte Woche bei den Linuxtagen in Wien präsentiert. Imsi-Catcher-Catcher nennt SBA Research seine Entwicklung und betrachtet es als Gerät zur digitalen Selbstverteidigung. Sarah Kriesche hat sich das Antispionagetool zeigen lassen.”

Martin Mulazzani in digital.leben auf Ö1: Digital Leben (11.05.2015)

Daniela Friedl und Peter Kieseberg beim Club IT der Fachgruppe UBIT

Daniela Friedl und Peter Kieseberg tragen heute im Rahmen des Club IT der Fachgruppe UBIT zum Thema „Best of Cybersecurity“ vor. Die Fachgruppe Unternehmensberatung und Informationstechnologie Wien (UBIT) der Wirtschaftskammer Österreich vertritt die (regionalen) Interessen der Branchen Unternehmensberatung, IT/(Telekom)-Dienstleistung und der Buchhaltungsberufe. Daniela Friedl wird im Rahmen der Veranstaltung SBA Prime sowie die Start-Up Initiative vorstellen. Peter Kieseberg spricht über eine neuartige Plattform zur Analyse der iOS App Ökosysteme.

Dienstag, 12. Mai 2015, 18 Uhr
Festsaal, WIFI Wien (Währinger Gürtel 97, 1180 Wien)

Website

Edgar Weippl and Dimitris Simos joined COST Actions

Edgar Weippl has been nominated as a MC Member to the COST Actions „CRYPTACUS“ and „MPM4CPS“.
Dimitris Simos has been nominated as a MC Member to the COST Action „Random Network Coding and Designs over GF(q)“ .

COST (European Cooperation in Science and Technology)

SBA Research auf den Linuxwochen

SBA Research trägt heute über Security & Privacy auf den Linuxwochen in Wien vor. Aljosha Judmayer erzählt über die Grundlagen von Bitcoin als dezentrales Zahlungsmittel und die verwendete Kryptographie, Martin Mulazzani präsentiert das Projekt Imsi-Catcher-Catcher und Katharina Krombholz spricht über das Picture Privacy Projekt. Markus Huber von der FH St. Pölten stellt seine Privacybox vor und erzählt, wie InternetnutzerInnen im Internet verfolgt werden.

Freitag, 05. Mai 2015, 14.00 – 18.00 Uhr
Technikum Wien

Website

SBA Research beim Ministertreffen in St. Pölten

SBA Research durfte sich heute bei der Cyber-Leistungsschau am Rande der Forum-Salzburg-Ministerkonferenz vor Innenministerin Mag.a Johanna Mikl-Leitner sowie einer Delegation aus mehr als zehn InnenministerInnen aus Mittel- und Südosteuropa im Landhaus St. Pölten präsentieren. Ziel war es, den Gästen zu zeigen, dass Österreich beim Thema Cyber Sicherheit eine Reihe von Kompetenzen und Technologien aus diversen Forschungsprojekten entwickelt hat, die bereits in innovative Produkte und Dienstleistungen umgesetzt werden konnten.

Das “Forum Salzburg” ist eine vom österreichischen Innenministerium initiierte mitteleuropäische Sicherheitspartnerschaft. Sie zielt darauf ab, die regionale Zusammenarbeit zu intensivieren, die Kooperation und gemeinsame Arbeit innerhalb der EU zu koordinieren und die Zusammenarbeit mit den “Freunden des Forum Salzburg” – den Westbalkan-Staaten – zu forcieren.

Pressebericht über das Ministertreffen in der NÖN

Ulrich Bayer mit Vortrag zum Thema „Advanced Persistent Threats“

Ulrich Bayer hält heute einen Vortrag zum Thema „Advanced Persistent Threats“ im Rahmen der ARGE Daten – Veranstaltung „Datenschutz und IT-Sicherheit“. Die Tagesveranstaltung informiert über organisatorische und technische Anforderungen zur IT-Sicherheit, Sicherheitsstandards, Basissicherheit und Erweiterungen, Konzepte und Umsetzung von IT-Sicherheit sowie Grundlagen einer optimalen Security Policy.

Abstract: APT (Advanced Persistent Threat) ist als Schlagwort der Sicherheitsindustrie derzeit in aller Munde. Anti-APT Lösungen werden auf den unterschiedlichsten Plattformen angeboten, wobei sich in der Praxis meist die Frage stellt: Wie viel Sicherheit bringt mir eine hochspezialisierte Lösung wirklich? Diese und weitere Fragen werden im Zuge dieses Vortrags behandelt. Anhand eines »Live APT« wird demonstriert, welche Bausteine ein Angreifer für einen erfolgreichen, gezielten Angriff benötigt und wie ein solcher Angriff umgesetzt werden kann. Darüber hinaus werden mögliche Gegenmaßnahmen und Vorgehensmodelle diskutiert

Martina Lindorfer and Sebastian Neuer return from research exchange at NEU

Martina Lindorfer and Sebastian Neuner from SBA Research visited Northeastern University (NEU) in Boston, as invited researchers from August 2014 to December 2014 and October 2014 to April 2015 respectively.
Both of them were advised by Prof. William Robertson and Prof. Engin Kirda, a long-term key researcher at SBA Research.
During their six months stay, Martina Lindorfer worked in the field of Android malware analysis, privacy leaks in mobile network traffic, and iOS security mechanisms. Sebastian Neuner worked on defense mechanisms of the Universal Serial Bus against reflashing attacks. Both received a scholarship of the Austrian Marshall Plan Foundation for this research exchange.

SBA Research im Schweizer Fernsehen

Das Schweizer Fernsehen kam zu SBA, um über Martinas Paper zu berichten (Andrubis – 1,000,000 Apps Later: A View on Current Android Malware Behaviors)


Für die Studie hat das Forschungszentrum SBA Research in Wien eine App mitentwickelt, mit der User ihr Smartphone nach schädlichen Programmen durchleuchten können. «Fast alle Apps sammeln Daten», sagt Edgar Weippl wissenschaftlicher Direktor von SBA Research, gegenüber «Kassensturz».” (SRF)

SBA Research @ B2B Software Days 2015

SBA Research ist mit einem Messestand bei den 3. International B2B Software Days 2015  der Wirtschaftskammer Österreich vertreten.

Die International B2B Software Days bieten eine Plattform um mehr über die neuesten Trends im “Digital Business” zu lernen und um internationale Kooperationspartner für Forschung, Technologie und Business-Projekte zu finden.

Genauere Informationen zur Veranstaltung finden Sie hier.

Security Forum 2015

Edgar Weippl wird über “Advanced Persistent Threats & Social Engineering” sprechen:

Abstract: Social Engineering ist schon seit langer Zeit als effektive Angriffsmethode bekannt. Der Begriff “Wissensarbeiter” wurde von Peter Drucker vor etwa 50 Jahren geprägt. Aktuelle Trends wie BYOD (bring your own device) und öffentliche Cloud-Dienste stellen für Arbeitgeber eine neue Herausforderung da. Junge Wissensarbeiterinnen und –arbeiter erwarten in ihrem beruflichen Umfeld die gleichen mobilen Geräte und Dienste verwenden zu können, die sie auch privat verwenden.

Die Abnahme direkter und persönlicher Kommunikation und die große Zahl verwendeter Tools (E-Mail, IM, Skype, Dropbox, Linked-In, Lync, etc.) ermöglichen neue Angriffsvektoren. Aktuelle Angriffe zeigen, dass technisch unterstützte Social-Engineering-Angriffe sehr oft der erste Schritt komplexer APTs (Advanced Persistent Threats) sind. In dem Vortrag werden aktuelle Gefahren aufgezeigt und analysiert.

Edgar Weippl @ (ISC)2 Secure Central Eastern Europe 2015

The (ISC)2 Secure Central Eastern Europe 2015 Conference deals with the topic “Managing Risk in an Ever Changing Threat Landscape”. The conference takes place on 21st April 2015 at the Óbuda University in Budapest, Hungary.

Edgar Weippl will give a talk about “Research Challenges in Information Security”.

Over the last years, there is an increasing number of descriptive works observing and describing complex phenomena, e.g., the efficiency of different spam campaigns, the distribution of bots, or the likelihood of users to accept false identities as friends in social networks. These studies are characterized by large sets of samples.
Future research will focus on networks and cloud systems; the research methodology will be empirical systems security: (1) passively observing large systems and (2) active probing that stimulates revealing behavior of the Systems.

Sorgenkind IT-Security: Mehr Bedrohungen und weniger Profis

Andreas Tomek in der Computerwelt über die Ergebnisse der Global Information Security Workforce Study (GISWS) von (ISC)².

Den Artikel gibt es hier zu lesen.
Studie zum Download

“Awareness ist eine der wichtigsten Sicherheitsmaßnahmen”: Andreas Tomek in der Computerwelt

“Die siebte Global Information Security Workforce Study (GISWS) des (ISC)² kommt zu dem Schluss, das international bis 2020 1,5 Millionen IT-Security-Fachkräfte fehlen werden. Aber wie sieht die Lage in Österreich aus? Computerwelt.at hat den Experten Andreas Tomek, Head of Professional Services bei SBA Research und Vorstandsmitglied beim (ISC)² Chapter Österreich, dazu befragt.”

Das Interview in der Computerwelt gibt es hier zu lesen.

Paper accepted @ IEEE WoWMoM 2015

The paper “Privacy-preserving Routing in Delay Tolerant Networks based on Bloom Filters ” by Evangelos Papapetrou (University of Ioannina, Greece), Vasileios F. Bourgos (University of Ioannina, Greece), and Artemios G. Voyiatzis (SBA Research, Austria) has been accepted for publication in the 16th IEEE International Symposium on a World of Wireless, Mobile and Multimedia Networks (IEEE WoWMoM 2015).

WoWMoM 2015 takes place on June 14-17, 2015 in Boston, MA, USA and is ranked as an A-Conference in CORE.

Abstract
Conference Website

Schwerwiegende Schwachstelle im Windows HTTP-Protokoll-Stack (MS15-034)

Eine kürzlich bekanntgewordene schwere Windows Lücke betrifft vor allem Windows Webserver. Derzeit (16.04.2015) sind nur Denial-of-Service Angriffe möglich. Es ist relativ wahrscheinlich, dass in naher Zukunft Angriffe mit höherem Risiko entwickelt werden.

SBA Research hat alle derzeit verfügbaren Informationen in einem White-Paper zusammengefasst: SBA Whitepaper: Microsoft HTTP.sys Schwachstelle

Für weitere Informationen wenden Sie sich bitte an ms15034@sba-research.org .

Security Afterworks am 14. April 2015

Das Security Afterworks am 14. April 2015 beschäftigte sich mit dem Thema “Cybercrime – Lessons From The Field & Best Of Troopers15″. Andreas Tomek sprach über Cybercrime-Vorfälle des letzten Jahres und bereitet diese hinsichtlich Identifikation, Incident Response und Prävention auf. Danach fassten Andrian Dabrowski und Peter Kieseberg die Hot Topics der Troopers15 Konferenz zusammen die Mitte März in Heidelberg stattgefunden hat.

Die Präsentationen zur Nachlese gibt es im Überblick hier.

Edgar Weippl is part of the Academic Advisory Network of Europol

Europol’s Cybercrime Center established an Academic Advisory Network. Edgar Weippl was part of the inaugural Meeting.

Meeting