Aus Sicherheitslücken von Software lernen – Saarbrücker Ansatz deckt Schwachstellen auf

Die Ursache ist meist nicht ausreichend geschützte und damit verwundbare Software. Forscher an der Universität des Saarlandes haben nun einen neuen Ansatz vorgestellt, wie man aus früheren Sicherheitslücken lernt und automatisch vorhersagt, wie verwundbar eine Software-Komponente ist.

Alles beginnt mit einem Leck: In einem Programm wird eine Sicherheitslücke bekannt, mit deren Hilfe sich ungebetene Gäste Zugang verschaffen können. Dieses Leck wird in der Regel vom Programmanbieter gestopft, der dann möglichst schnell eine überarbeitete Version verbreiten muss. All diese Aktivitäten werden systematisch in großen Datenbanken aufgezeichnet.

Diese Datenbanken haben die Saarbrücker Forscher am Lehrstuhl für Softwaretechnik von Professor Dr. Andreas Zeller genau analysiert: Zunächst wurde bestimmt, wo im Programm die meisten Schwachstellen sind. Mit den Daten wird eine Graphik erzeugt, die wie eine Landkarte aussieht: Je röter eine Komponente erscheint, desto verwundbarer ist sie. Eine solche Abbildung ermöglicht den Programmierern, die verwundbaren Komponenten zu identifizieren und zu untersuchen.

Daneben kann der Saarbrücker Ansatz auch vollautomatisch vorhersagen, wo die nächste Lücke auftreten wird: „Wir schauen uns an, mit welchen anderen Programmteilen eine verwundbare Komponente zusammenarbeitet“, so Thomas Zimmermann, der das Verfahren mit dem Doktoranden Stephan Neuhaus zusammen entwickelt hat. „Es stellt sich heraus, dass verwundbare Komponenten mit ähnlichen Teilen zusammenarbeiten.“ Oder, wie Projektleiter Professor Dr. Zeller es formuliert: „Sage mir, mit wem du sprichst und ich sage dir, wie verwundbar du bist.“ Eine dokumentierte Fehler- und Änderungsgeschichte, wie sie von einschlägigen Werkzeugen automatisch angelegt wird, bildet die Grundlage für diese Schwachstellen-Bestimmung.

Die Saarbrücker Forscher untersuchten als praktische Beispiele die Web-Browser Firefox und Mozilla. Bei letzterem hatten sie im Januar eine Liste von zehn Mozilla-Quellcode-Dateien erstellt, bei denen sie Sicherheitslücken vermuteten. Bei fünf dieser zehn Dateien wurden in den vergangenen sechs Monaten tatsächlich wie vorausgesagt Sicherheitslücken festgestellt – und behoben. Dieser Erfolg ließ die internationale Fachwelt aufhorchen.

Im November wird das Saarbrücker Verfahren nun auf einer der wichtigsten Sicherheits-Konferenzen veröffentlicht, der ACM Computer and Communication Security in Virginia, USA.(Details zur Konferenz: http://www.sigsac.org/ccs/CCS2007) Es wurde dort als einziger Beitrag einer deutschen Wissenschaftlergruppe ausgewählt.

Fragen beantwortet Ihnen:

Prof. Dr. Andreas Zeller
Tel. 0681 302-64011
Friederike Meyer zu Tittingdorf
Tel. 0681 302-58099
Die Landkarte des Mozilla-Projekts sowie Porträtfotos der Wissenschaftler stehen zum Download bereit unter:

http://www.informatik-saarland.de/06.Presse/03.Pressefotos/