Seminar: Anwendungssicherheit

Informationen der Studiengangskoordination Informatik

Studierenden werden per E-Mail an die Mailingliste cs-studs@ibr.cs.tu-bs.de sowie per Aushang vor dem Prüfungsamt Informatik über das Seminarvergabeverfahren informiert.

Das Seminarangebot ist für die Studierenden auf den Studiengangswebseiten einsehbar: 
- Bachelor: https://www.tu-braunschweig.de/informatik-bsc/struktur#c526106
- Master: https://www.tu-braunschweig.de/informatik-msc/struktur#c562577

Inhalte

Das Seminar Anwendungssicherheit richtet sich an Bachelor oder Masterstudierende, die Interesse am Bereich der IT-Sicherheit haben. Für das Seminar wählen sich die Studierenden nach Möglichkeit selbst jeweils eins der vorgegebenen Themen aus, können aber auch (vor dem Kick-Off Meeting) an die modulverantwortliche Person Themenvorschläge einbringen.

Die Studierenden setzen sich mit der Veröffentlichung und dem zugehörigen Themenkomplex eigenverantwortlich auseinander. Für die Prüfungsleistung müssen die Studierenden zunächst eine schriftliche Ausarbeitung erstellen, die einen kleinen eigenen Beitrag zu einem Thema enthält. Dies könnte zum Beispiel das Isolieren einer offenen Problemstellung, das Definieren neuer Anwendungsmöglichkeiten, die Einordnung eines Papers in den aktuellen Stand der Forschung oder eine kleine Vergleichs- oder Replikationsstudie sein. Folgend präsentieren Studierende ihre Arbeit in einem 20-minütigen Vortrag.

Somit sind die Studierenden nicht nur gefordert sich mit dem Paper, sondern auch mit den thematisch verwandten Arbeiten und somit dem aktuellen Stand der Wissenschaft auseinander zu setzen. Die Idee für den eigenen Beitrag wird vorab mit der betreuenden Person abgestimmt und erhält einen dem Seminar zeitlich angemessenen Rahmen. 

Formalitäten

Das zu verwendende Template für die schriftliche Ausarbeitung basiert auf dem Association for Computing Machinery (ACM) LaTeX Template.
Der erwartete Umfang beträgt 8 Seiten für Bachelor und 10 Seiten für Master Studierende (inkl. Quellen) sowie eine ca. 20 minütige Präsentation mit anschließenden 5-10 min Q&A.

Da sowohl die Veröffentlichungen als auch die meisten Quellen in den gegebenen Themengebiet in englischer Sprache sind, wird die Ausarbeitung auf Englisch verfasst. Üblicherweise wird auch die Präsentation in englischer Sprache gehalten.

Themen

Private Set Intersection (PSI)

Problem: Alice holds a set A and Bob a set B. They do not trust each other. Still they want to learn the intersection A ∩ B without revealing anything else to each other.

• Give an comprehensive overview of existing PSI protocols.
• Discuss their strength and weaknesses.

[1] PrivateDrop: Practical Privacy-Preserving Authentication for Apple AirDrop, USENIX Security 2021

Client-side Scanning (CSS)

• Give an introduction to client-side scanning.
• Review relevant academic literature.
• Discuss your findings, also in context of current social/political controversy.

[1] Adversarial Detection Avoidance Attacks: Evaluating the robustness of perceptual hashing-based client-side scanning, USENIX Security 2022

Attacks on JSON Web Tokens

• Research JSON Web Tokens (JWT) and focus on finding attack scenarios
• Search for and distinguish between academic publications, blogs, tools

[1] ticarpi/jwt_tool

[2] Practical Approaches for Testing and Breaking JWT Authentication

[3] Secrets of JWT Testing – TestMatick

Web Server Fingerprinting

• Research techniques for fingerprinting web servers (nginx, Apache, Tomcat, IIS…) with focus on more robust techniques.
• Further look into defenses against such techniques.
• Research and structure academic publication, tool and blog post.

[1] Detecting and defending against Web-server fingerprinting, S&P 2017 
[2] HTTPFuzz: Web Server Fingerprinting with HTTP Request Fuzzing, SECCRYPT 2022 

Miniapp Attack Surfaces

• Reinvention of Operating Systems
• How do they compare to regular app stores?
• Mapping of "new" vulnerability classes to existing ones

[1] Cross Miniapp Request Forgery: Root Causes, Attacks, and Vulnerability Detection, ACM CCS 2022

Memory Forensics and Data Structures

• Memory forensics used in law enforcement
• Similar concepts across different operating systems
• How to extract information from unknown blobs of data?

[1] An OS-agnostic Approach to Memory Forensics, NDSS 2023
 

Hinweis: Es können gerne auch eigene Themenvorschläge eingebracht werden. Diese müssen allerdings im Vorfeld mit den Betreuern abgestimmt werden.