Forum für Wissenschaft, Industrie und Wirtschaft

Hauptsponsoren:     3M 
Datenbankrecherche:

 

Für sichere Software: Röntgen statt Passkontrolle

25.06.2014

Vertrauen ist gut, Kontrolle ist besser – auch bei der Sicherheit von Computerprogrammen.

Statt sich auf „Ausweispapiere“ in Form von Zertifikaten zu verlassen, durchleuchtet die neue Softwareanalyse JOANA den Quelltext (Code) eines Programms. Auf diese Weise spürt sie die Lecks auf, über die geheime Informationen nach außen gelangen oder Fremde von außen in das System eindringen können. Gleichzeitig reduziert JOANA die Zahl der Fehlalarme auf ein Minimum.

Das am Karlsruher Institut für Technologie (KIT) entwickelte Analysewerkzeug hat sich bereits in realistischen Testszenarien bewährt. Als Nächstes ist eine industrielle Fallstudie geplant.

„Gängige Softwarezertifikate bescheinigen die Vertrauenswürdigkeit des Herstellers. Mit JOANA können wir ergänzend das tatsächliche Verhalten eines Programms überprüfen“, sagt Gregor Snelting, der das Analysewerkzeug mit seiner Forschergruppe am Lehrstuhl Programmierparadigmen des KIT entwickelt hat. Das sei deshalb so wichtig, weil die meisten Schwachstellen auf unbeabsichtigte Programmierfehler zurückgingen.

Im Fokus der Wissenschaftler stehen derzeit mobile Anwendungen für Android-Smartphones. Prinzipiell können sie aber fast alle Programme testen, die in den gängigen Sprachen JAVA, C oder C++ geschrieben sind. Zunächst sollen Softwareunternehmen ihre Produkte prüfen lassen können, bevor sie damit an den Markt gehen. Da derzeit noch Fachleute das Einrichten und Bedienen übernehmen müssen, ist JOANA für private Nutzer weniger geeignet.

JOANA überprüft sämtliche Datenkanäle einer Software, durch die Informationen fließen, und findet dadurch die Sicherheitslücken. „Wir unterscheiden zwischen öffentlich sichtbaren Kanälen, die beispielsweise die Nutzeroberfläche abbilden, und geschützten Kanälen, auf die Anwender nicht zugreifen können“, erklärt Snelting. „Für die Sicherheit von geheimen Informationen, wie Passwörtern oder Kontonummern, ist entscheidend, dass sie ausschließlich in geschützten Kanälen befördert werden.“ Wo sich geheime und öffentliche Datenströme kreuzten, sei ein Informationsaustausch prinzipiell möglich und so bestehe Gefahr, dass sensible Informationen weitergegeben würden.

Die Wissenschaftler unterscheiden mehrere Sicherheitslücken: So können beispielsweise direkt lesbare Kopien sensibler Daten nach außen gelangen (explizites Leck) oder nur die Muster, nach denen sie verschlüsselt sind (implizites Leck). Problematisch ist auch, wenn sich geheime Passwörter auf die wahrscheinliche Reihenfolge sichtbarer Informationsflüsse auswirken (probabilistisches Leck) – und daraus rekonstruierbar sind. Ein vereinfachtes Beispiel: Der Befehl ein „rotes L“ zu drucken erreicht einen Drucker zeitgleich mit dem geheimen Passwort für die Zugriffsberechtigung. Lautet das Passwort AB, kommt die Information „L“ in den meisten Fällen kurz vor der Information „rot“ an. Lautet das Passwort BA, ist es genau umgekehrt.. JOANA erkennt auch solche Sicherheitslücken zuverlässig, obwohl sie schwerer zu identifizieren sind.

„Mindestens ebenso wichtig, wie alle Sicherheitslücken zu finden, ist es, möglichst wenig Fehlalarme zu produzieren“, sagt Snelting. Viele Fehlalarme führten zu einem massiv erhöhten Prüfaufwand oder dazu, dass Alarme ignoriert würden. JOANA reduziert die Zahl der Fehlalarme für alle Sicherheitslücken – auch für probabilistische Lecks. Die KIT-Wissenschaftler haben dafür eine neue Rechenmethode entwickelt (Relaxed Low-Security Oberservational Determinism), die nur an sicherheitskritischen Stellen eine feste Reihenfolge für beobachtbare Prozessschritte vorschreibt. Im obigen Beispiel hieße das, die Information „rot“ muss den Drucker immer vor der Information „L“ erreichen, unabhängig vom Passwort. „Die Herausforderung war, sicherheitsirrelevante Prozesse von solch strikten Vorgaben auszunehmen“, so Snelting. Andernfalls stiege entweder die Zahl der Fehlalarme, weil jede Abweichung als gefährlich eingestuft würde, oder die Ausführungen eines Programms müssten so massiv beschränkt werden, dass es praktisch nicht mehr nutzbar sei.

JOANA ist bislang weltweit das einzige Softwareanalysewerkzeug, das nicht nur alle Sicherheitslücken findet, sondern auch die Zahl der Fehlalarme minimiert, ohne die Funktionsfähigkeit von Programmen zu beeinträchtigen. Gefördert von der Deutschen Forschungsgemeinschaft haben die KIT-Wissenschaftler rund zwanzig Jahre auf diesem Gebiet geforscht. „Längerfristig könnte mit JOANA geprüfte Software ein neuartiges Zertifikat erhalten, das die Sicherheit des Programmcodes bescheinigt“, sagt Snelting.

Für interessierte Fachleute steht JOANA als Open Source Software zum Download zur Verfügung: http://pp.ipd.kit.edu/projects/joana

Digitale Pressemappe zum Wissenschaftsjahr 2014

Ob in der Kommunikation, der Energieversorgung oder der Mobilität, in der Industrie, im Gesundheitsbereich oder in der Freizeit: Digitale Technologien sind längst Teil unseres Alltags, sie eröffnen neue Möglichkeiten und bieten Lösungen für gesellschaftliche Probleme. Gleichzeitig stellen sie uns vor Herausforderungen. Chancen und Risiken stehen im Mittelpunkt des Wissenschaftsjahres 2014 – Die Digitale Gesellschaft. Am KIT beschäftigen sich Forscherinnen und Forscher aller Disziplinen mit den vielfältigen – technischen und gesellschaftlichen – Aspekten der Digitalisierung. Kurzporträts, Presseinformationen und Videos dazu bietet die digitale Pressemappe des KIT zum Wissenschaftsjahr:
http://www.pkm.kit.edu/digitalegesellschaft

Das Karlsruher Institut für Technologie (KIT) ist eine Körperschaft des öffentlichen Rechts nach den Gesetzen des Landes Baden-Württemberg. Es nimmt sowohl die Mission einer Universität als auch die Mission eines nationalen Forschungszentrums in der Helmholtz-Gemeinschaft wahr. Thematische Schwerpunkte der Forschung sind Energie, natürliche und gebaute Umwelt sowie Gesellschaft und Technik, von fundamentalen Fragen bis zur Anwendung. Mit rund 9.400 Mitarbeiterinnen und Mitarbeitern, darunter knapp 6.000 in Wissenschaft und Lehre, sowie 24.000 Studierenden ist das KIT eine der größten Forschungs- und Lehreinrichtungen Europas. Das KIT verfolgt seine Aufgaben im Wissensdreieck Forschung – Lehre – Innovation.

Diese Presseinformation ist im Internet abrufbar unter: http://www.kit.edu

Monika Landgraf | idw - Informationsdienst Wissenschaft

Weitere Nachrichten aus der Kategorie Informationstechnologie:

nachricht Sicheres Bezahlen ohne Datenspur
17.10.2017 | Karlsruher Institut für Technologie

nachricht Saarbrücker Forscher erstellen digitale Objekte aus unvollständigen 3-D-Daten
12.10.2017 | Universität des Saarlandes

Alle Nachrichten aus der Kategorie: Informationstechnologie >>>

Die aktuellsten Pressemeldungen zum Suchbegriff Innovation >>>

Die letzten 5 Focus-News des innovations-reports im Überblick:

Im Focus: Sicheres Bezahlen ohne Datenspur

Ob als Smartphone-App für die Fahrkarte im Nahverkehr, als Geldwertkarten für das Schwimmbad oder in Form einer Bonuskarte für den Supermarkt: Für viele gehören „elektronische Geldbörsen“ längst zum Alltag. Doch vielen Kunden ist nicht klar, dass sie mit der Nutzung dieser Angebote weitestgehend auf ihre Privatsphäre verzichten. Am Karlsruher Institut für Technologie (KIT) entsteht ein sicheres und anonymes System, das gleichzeitig Alltagstauglichkeit verspricht. Es wird nun auf der Konferenz ACM CCS 2017 in den USA vorgestellt.

Es ist vor allem das fehlende Problembewusstsein, das den Informatiker Andy Rupp von der Arbeitsgruppe „Kryptographie und Sicherheit“ am KIT immer wieder...

Im Focus: Neutron star merger directly observed for the first time

University of Maryland researchers contribute to historic detection of gravitational waves and light created by event

On August 17, 2017, at 12:41:04 UTC, scientists made the first direct observation of a merger between two neutron stars--the dense, collapsed cores that remain...

Im Focus: Breaking: the first light from two neutron stars merging

Seven new papers describe the first-ever detection of light from a gravitational wave source. The event, caused by two neutron stars colliding and merging together, was dubbed GW170817 because it sent ripples through space-time that reached Earth on 2017 August 17. Around the world, hundreds of excited astronomers mobilized quickly and were able to observe the event using numerous telescopes, providing a wealth of new data.

Previous detections of gravitational waves have all involved the merger of two black holes, a feat that won the 2017 Nobel Prize in Physics earlier this month....

Im Focus: Topologische Isolatoren: Neuer Phasenübergang entdeckt

Physiker des HZB haben an BESSY II Materialien untersucht, die zu den topologischen Isolatoren gehören. Dabei entdeckten sie einen neuen Phasenübergang zwischen zwei unterschiedlichen topologischen Phasen. Eine dieser Phasen ist ferroelektrisch: das bedeutet, dass sich im Material spontan eine elektrische Polarisation ausbildet, die sich durch ein äußeres elektrisches Feld umschalten lässt. Dieses Ergebnis könnte neue Anwendungen wie das Schalten zwischen unterschiedlichen Leitfähigkeiten ermöglichen.

Topologische Isolatoren zeichnen sich dadurch aus, dass sie an ihren Oberflächen Strom sehr gut leiten, während sie im Innern Isolatoren sind. Zu dieser neuen...

Im Focus: Smarte Sensoren für effiziente Prozesse

Materialfehler im Endprodukt können in vielen Industriebereichen zu frühzeitigem Versagen führen und den sicheren Gebrauch der Erzeugnisse massiv beeinträchtigen. Eine Schlüsselrolle im Rahmen der Qualitätssicherung kommt daher intelligenten, zerstörungsfreien Sensorsystemen zu, die es erlauben, Bauteile schnell und kostengünstig zu prüfen, ohne das Material selbst zu beschädigen oder die Oberfläche zu verändern. Experten des Fraunhofer IZFP in Saarbrücken präsentieren vom 7. bis 10. November 2017 auf der Blechexpo in Stuttgart zwei Exponate, die eine schnelle, zuverlässige und automatisierte Materialcharakterisierung und Fehlerbestimmung ermöglichen (Halle 5, Stand 5306).

Bei Verwendung zeitaufwändiger zerstörender Prüfverfahren zieht die Qualitätsprüfung durch die Beschädigung oder Zerstörung der Produkte enorme Kosten nach...

Alle Focus-News des Innovations-reports >>>

Anzeige

Anzeige

IHR
JOB & KARRIERE
SERVICE
im innovations-report
in Kooperation mit academics
Veranstaltungen

DFG unterstützt Kongresse und Tagungen - Dezember 2017

17.10.2017 | Veranstaltungen

Intelligente Messmethoden für die Bauwerkssicherheit: Fachtagung „Messen im Bauwesen“ am 14.11.2017

17.10.2017 | Veranstaltungen

Meeresbiologe Mark E. Hay zu Gast bei den "Noblen Gesprächen" am Beutenberg Campus in Jena

16.10.2017 | Veranstaltungen

 
VideoLinks
B2B-VideoLinks
Weitere VideoLinks >>>
Aktuelle Beiträge

Sicheres Bezahlen ohne Datenspur

17.10.2017 | Informationstechnologie

Pflanzen gegen Staunässe schützen

17.10.2017 | Biowissenschaften Chemie

Den Trends der Umweltbranche auf der Spur

17.10.2017 | Ökologie Umwelt- Naturschutz