Forum für Wissenschaft, Industrie und Wirtschaft

Hauptsponsoren:     3M 
Datenbankrecherche:

 

Für sichere Software: Röntgen statt Passkontrolle

25.06.2014

Vertrauen ist gut, Kontrolle ist besser – auch bei der Sicherheit von Computerprogrammen.

Statt sich auf „Ausweispapiere“ in Form von Zertifikaten zu verlassen, durchleuchtet die neue Softwareanalyse JOANA den Quelltext (Code) eines Programms. Auf diese Weise spürt sie die Lecks auf, über die geheime Informationen nach außen gelangen oder Fremde von außen in das System eindringen können. Gleichzeitig reduziert JOANA die Zahl der Fehlalarme auf ein Minimum.

Das am Karlsruher Institut für Technologie (KIT) entwickelte Analysewerkzeug hat sich bereits in realistischen Testszenarien bewährt. Als Nächstes ist eine industrielle Fallstudie geplant.

„Gängige Softwarezertifikate bescheinigen die Vertrauenswürdigkeit des Herstellers. Mit JOANA können wir ergänzend das tatsächliche Verhalten eines Programms überprüfen“, sagt Gregor Snelting, der das Analysewerkzeug mit seiner Forschergruppe am Lehrstuhl Programmierparadigmen des KIT entwickelt hat. Das sei deshalb so wichtig, weil die meisten Schwachstellen auf unbeabsichtigte Programmierfehler zurückgingen.

Im Fokus der Wissenschaftler stehen derzeit mobile Anwendungen für Android-Smartphones. Prinzipiell können sie aber fast alle Programme testen, die in den gängigen Sprachen JAVA, C oder C++ geschrieben sind. Zunächst sollen Softwareunternehmen ihre Produkte prüfen lassen können, bevor sie damit an den Markt gehen. Da derzeit noch Fachleute das Einrichten und Bedienen übernehmen müssen, ist JOANA für private Nutzer weniger geeignet.

JOANA überprüft sämtliche Datenkanäle einer Software, durch die Informationen fließen, und findet dadurch die Sicherheitslücken. „Wir unterscheiden zwischen öffentlich sichtbaren Kanälen, die beispielsweise die Nutzeroberfläche abbilden, und geschützten Kanälen, auf die Anwender nicht zugreifen können“, erklärt Snelting. „Für die Sicherheit von geheimen Informationen, wie Passwörtern oder Kontonummern, ist entscheidend, dass sie ausschließlich in geschützten Kanälen befördert werden.“ Wo sich geheime und öffentliche Datenströme kreuzten, sei ein Informationsaustausch prinzipiell möglich und so bestehe Gefahr, dass sensible Informationen weitergegeben würden.

Die Wissenschaftler unterscheiden mehrere Sicherheitslücken: So können beispielsweise direkt lesbare Kopien sensibler Daten nach außen gelangen (explizites Leck) oder nur die Muster, nach denen sie verschlüsselt sind (implizites Leck). Problematisch ist auch, wenn sich geheime Passwörter auf die wahrscheinliche Reihenfolge sichtbarer Informationsflüsse auswirken (probabilistisches Leck) – und daraus rekonstruierbar sind. Ein vereinfachtes Beispiel: Der Befehl ein „rotes L“ zu drucken erreicht einen Drucker zeitgleich mit dem geheimen Passwort für die Zugriffsberechtigung. Lautet das Passwort AB, kommt die Information „L“ in den meisten Fällen kurz vor der Information „rot“ an. Lautet das Passwort BA, ist es genau umgekehrt.. JOANA erkennt auch solche Sicherheitslücken zuverlässig, obwohl sie schwerer zu identifizieren sind.

„Mindestens ebenso wichtig, wie alle Sicherheitslücken zu finden, ist es, möglichst wenig Fehlalarme zu produzieren“, sagt Snelting. Viele Fehlalarme führten zu einem massiv erhöhten Prüfaufwand oder dazu, dass Alarme ignoriert würden. JOANA reduziert die Zahl der Fehlalarme für alle Sicherheitslücken – auch für probabilistische Lecks. Die KIT-Wissenschaftler haben dafür eine neue Rechenmethode entwickelt (Relaxed Low-Security Oberservational Determinism), die nur an sicherheitskritischen Stellen eine feste Reihenfolge für beobachtbare Prozessschritte vorschreibt. Im obigen Beispiel hieße das, die Information „rot“ muss den Drucker immer vor der Information „L“ erreichen, unabhängig vom Passwort. „Die Herausforderung war, sicherheitsirrelevante Prozesse von solch strikten Vorgaben auszunehmen“, so Snelting. Andernfalls stiege entweder die Zahl der Fehlalarme, weil jede Abweichung als gefährlich eingestuft würde, oder die Ausführungen eines Programms müssten so massiv beschränkt werden, dass es praktisch nicht mehr nutzbar sei.

JOANA ist bislang weltweit das einzige Softwareanalysewerkzeug, das nicht nur alle Sicherheitslücken findet, sondern auch die Zahl der Fehlalarme minimiert, ohne die Funktionsfähigkeit von Programmen zu beeinträchtigen. Gefördert von der Deutschen Forschungsgemeinschaft haben die KIT-Wissenschaftler rund zwanzig Jahre auf diesem Gebiet geforscht. „Längerfristig könnte mit JOANA geprüfte Software ein neuartiges Zertifikat erhalten, das die Sicherheit des Programmcodes bescheinigt“, sagt Snelting.

Für interessierte Fachleute steht JOANA als Open Source Software zum Download zur Verfügung: http://pp.ipd.kit.edu/projects/joana

Digitale Pressemappe zum Wissenschaftsjahr 2014

Ob in der Kommunikation, der Energieversorgung oder der Mobilität, in der Industrie, im Gesundheitsbereich oder in der Freizeit: Digitale Technologien sind längst Teil unseres Alltags, sie eröffnen neue Möglichkeiten und bieten Lösungen für gesellschaftliche Probleme. Gleichzeitig stellen sie uns vor Herausforderungen. Chancen und Risiken stehen im Mittelpunkt des Wissenschaftsjahres 2014 – Die Digitale Gesellschaft. Am KIT beschäftigen sich Forscherinnen und Forscher aller Disziplinen mit den vielfältigen – technischen und gesellschaftlichen – Aspekten der Digitalisierung. Kurzporträts, Presseinformationen und Videos dazu bietet die digitale Pressemappe des KIT zum Wissenschaftsjahr:
http://www.pkm.kit.edu/digitalegesellschaft

Das Karlsruher Institut für Technologie (KIT) ist eine Körperschaft des öffentlichen Rechts nach den Gesetzen des Landes Baden-Württemberg. Es nimmt sowohl die Mission einer Universität als auch die Mission eines nationalen Forschungszentrums in der Helmholtz-Gemeinschaft wahr. Thematische Schwerpunkte der Forschung sind Energie, natürliche und gebaute Umwelt sowie Gesellschaft und Technik, von fundamentalen Fragen bis zur Anwendung. Mit rund 9.400 Mitarbeiterinnen und Mitarbeitern, darunter knapp 6.000 in Wissenschaft und Lehre, sowie 24.000 Studierenden ist das KIT eine der größten Forschungs- und Lehreinrichtungen Europas. Das KIT verfolgt seine Aufgaben im Wissensdreieck Forschung – Lehre – Innovation.

Diese Presseinformation ist im Internet abrufbar unter: http://www.kit.edu

Monika Landgraf | idw - Informationsdienst Wissenschaft

Weitere Nachrichten aus der Kategorie Informationstechnologie:

nachricht Warnsystem KATWARN startet international vernetzten Betrieb
27.06.2017 | FOKUS - Fraunhofer-Institut für Offene Kommunikationssysteme

nachricht Überschwemmungen genau in den Blick nehmen
27.06.2017 | Technische Universität Chemnitz

Alle Nachrichten aus der Kategorie: Informationstechnologie >>>

Die aktuellsten Pressemeldungen zum Suchbegriff Innovation >>>

Die letzten 5 Focus-News des innovations-reports im Überblick:

Im Focus: Schnelles und umweltschonendes Laserstrukturieren von Werkzeugen zur Folienherstellung

Kosteneffizienz und hohe Produktivität ohne dabei die Umwelt zu belasten: Im EU-Projekt »PoLaRoll« entwickelt das Fraunhofer-Institut für Produktionstechnologie IPT aus Aachen gemeinsam mit dem Oberhausener Fraunhofer-Institut für Umwelt-, Sicherheit- und Energietechnik UMSICHT und sechs Industriepartnern ein Modul zur direkten Laser-Mikrostrukturierung in einem Rolle-zu-Rolle-Verfahren. Ziel ist es, mit Hilfe dieses Systems eine siebartige Metallfolie als Demonstrator zu fertigen, die zum Sonnenschutz von Glasfassaden verwendet wird: Durch ihre besondere Geometrie wird die Sonneneinstrahlung reduziert, woraus sich ein verminderter Energieaufwand für Kühlung und Belüftung ergibt.

Das Fraunhofer IPT ist im Projekt »PoLaRoll« für die Prozessentwicklung der Laserstrukturierung sowie für die Mess- und Systemtechnik zuständig. Von den...

Im Focus: Das Auto lernt vorauszudenken

Ein neues Christian Doppler Labor an der TU Wien beschäftigt sich mit der Regelung und Überwachung von Antriebssystemen – mit Unterstützung des Wissenschaftsministeriums und von AVL List.

Wer ein Auto fährt, trifft ständig Entscheidungen: Man gibt Gas, bremst und dreht am Lenkrad. Doch zusätzlich muss auch das Fahrzeug selbst ununterbrochen...

Im Focus: Vorbild Delfinhaut: Elastisches Material vermindert Reibungswiderstand bei Schiffen

Für eine elegante und ökonomische Fortbewegung im Wasser geben Delfine den Wissenschaftlern ein exzellentes Vorbild. Die flinken Säuger erzielen erstaunliche Schwimmleistungen, deren Ursachen einerseits in der Körperform und andererseits in den elastischen Eigenschaften ihrer Haut zu finden sind. Letzteres Phänomen ist bereits seit Mitte des vorigen Jahrhunderts bekannt, konnte aber bislang nicht erfolgreich auf technische Anwendungen übertragen werden. Experten des Fraunhofer IFAM und der HSVA GmbH haben nun gemeinsam mit zwei weiteren Forschungspartnern eine Oberflächenbeschichtung entwickelt, die ähnlich wie die Delfinhaut den Strömungswiderstand im Wasser messbar verringert.

Delfine haben eine glatte Haut mit einer darunter liegenden dicken, nachgiebigen Speckschicht. Diese speziellen Hauteigenschaften führen zu einer signifikanten...

Im Focus: Kaltes Wasser: Und es bewegt sich doch!

Bei minus 150 Grad Celsius flüssiges Wasser beobachten, das beherrschen Chemiker der Universität Innsbruck. Nun haben sie gemeinsam mit Forschern in Schweden und Deutschland experimentell nachgewiesen, dass zwei unterschiedliche Formen von Wasser existieren, die sich in Struktur und Dichte stark unterscheiden.

Die Wissenschaft sucht seit langem nach dem Grund, warum ausgerechnet Wasser das Molekül des Lebens ist. Mit ausgefeilten Techniken gelingt es Forschern am...

Im Focus: Hyperspektrale Bildgebung zur 100%-Inspektion von Oberflächen und Schichten

„Mehr sehen, als das Auge erlaubt“, das ist ein Anspruch, dem die Hyperspektrale Bildgebung (HSI) gerecht wird. Die neue Kameratechnologie ermöglicht, Licht nicht nur ortsaufgelöst, sondern simultan auch spektral aufgelöst aufzuzeichnen. Das bedeutet, dass zur Informationsgewinnung nicht nur herkömmlich drei spektrale Bänder (RGB), sondern bis zu eintausend genutzt werden.

Das Fraunhofer IWS Dresden entwickelt eine integrierte HSI-Lösung, die das Potenzial der HSI-Technologie in zuverlässige Hard- und Software überführt und für...

Alle Focus-News des Innovations-reports >>>

Anzeige

Anzeige

IHR
JOB & KARRIERE
SERVICE
im innovations-report
in Kooperation mit academics
Veranstaltungen

Marine Pilze – hervorragende Quellen für neue marine Wirkstoffe?

28.06.2017 | Veranstaltungen

Willkommen an Bord!

28.06.2017 | Veranstaltungen

Internationale Fachkonferenz IEEE ICDCM - Lokale Gleichstromnetze bereichern die Energieversorgung

27.06.2017 | Veranstaltungen

 
VideoLinks
B2B-VideoLinks
Weitere VideoLinks >>>
Aktuelle Beiträge

EUROSTARS-Projekt gestartet - mHealth-Lösung: time4you Forschungs- und Entwicklungspartner bei IMPACHS

28.06.2017 | Unternehmensmeldung

Proteine entdecken, zählen, katalogisieren

28.06.2017 | Biowissenschaften Chemie

Neue Scheinwerfer-Dimension: Volladaptive Lichtverteilung in Echtzeit

28.06.2017 | Automotive