Juliano Rizzo
Argentinischer Sicherheitsforscher, der gemeinsam mit Thai Duong alte kryptographische Warnungen in funktionierende Angriffe auf TLS und Web-Frameworks verwandelte.
2010 zeigten die beiden, dass ASP.NET Informationen über das Padding verschlüsselter Cookies und des View State preisgab – ein Padding Oracle –, was genügte, um sie zu entschlüsseln und im schlimmsten Fall Konfigurationsdateien des Servers zu lesen. Microsoft lieferte einen Notfall-Patch außerhalb des regulären Monatszyklus aus.
2011 folgte BEAST, das vorhersagbare Initialisierungsvektoren in TLS 1.0 ausnutzte, und 2012 CRIME, das Sitzungs-Cookies zurückgewann, indem es maß, wie TLS-Kompression Anfragen schrumpfen ließ. Beide Schwächen waren theoretisch seit Jahren bekannt; neu war eine Demonstration, die die Browserhersteller binnen eines Quartals in Bewegung brachte. Beide debütierten auf der ekoparty in Buenos Aires, die damit unverhofft ein Wörtchen bei der Entwicklung von TLS mitzureden hatte.