Next Generation SharePoint
22.02.18 - 22.02.18
In München

BIG DATA Marketing Day
22.02.18 - 22.02.18
In München

SAMS 2018
26.02.18 - 27.02.18
In Berlin, Maritim proArte

EuroCIS 2018
27.02.18 - 01.03.18
In Düsseldorf, Messe Halle 9 und 10

BIG DATA Marketing Day
27.02.18 - 27.02.18
In Wien

Oft brechen Angreifer in Softwaresysteme ein, indem sie eine spezielle Zeichenkette eingeben und so einen bereits vorhandenen Programmierfehler ausnutzen. Um diesen Missbrauch zu verhindern, entwickeln Informatiker des Kompetenzzentrums für IT-Sicherheit (CISPA) an der Saar-Uni Testverfahren, die innerhalb von Minuten Millionen gültiger Programmeingaben produzieren. 

Das nötige Wissen, wie die Eingaben aufgebaut sind, extrahieren die Wissenschaftler automatisch aus den zu testenden Programmen. 

Andreas Zeller, Professor für Softwaretechnik der Universität des Saarlandes und Forscher am CISPA, will Sicherheitslücken aufdecken, bevor Cyberkriminelle sie ausnutzen können. „Moderne Testgeneratoren können sehr schnell Eingaben für das jeweilige Programm generieren“, erklärt Zeller. „Man muss aber wissen, wie die Eingabe aufgebaut ist, da das Programm ungültige Eingaben sonst sofort zurückweist“. Genau hier setzen die IT-Forscher an, nämlich zu entziffern, wie sich die Eingaben eines Programms zusammensetzen.

Aus einem vorhandenen Programm und dessen vorliegenden Eingaben können Zeller und seine Doktoranden Matthias Höschele und Alexander Kampmann automatisch eine „kontextfreie Grammatik“ herausziehen. Eine solche Grammatik beschreibt die gültigen Eingaben des Programms, etwa so wie die deutsche Grammatik gültige Sätze für die deutsche Sprache definiert. Nach den Kernpunkten dieses Ansatzes – „automatisch“ und „Grammatik“ – haben die CISPA-Forscher auch das dazugehörige Softwaresystem getauft. „Autogram“ lautet der Name ihres Prototyps, dessen erste Ergebnisse sie im September 2016 auf der Konferenz „Automated Software Engineering“ in Singapur vorstellten.

„Mit der von Autogram erzeugten Grammatik können wir in Minuten Millionen gültiger Eingaben produzieren und so ein Programm auf Herz und Nieren prüfen “, erklärt Zeller. Die Vielzahl von Eingaben reduziert die Wahrscheinlichkeit erheblich, eine Sicherheitslücke zu übersehen, so Zeller. Um die Grammatik zu extrahieren, beobachtet Autogram, was das jeweilige Programm mit den eingegebenen Daten macht. Unterschiedliche Teile der Eingabe werden nämlich in unterschiedlichen Teilen des Programms verarbeitet. So lernt Autogram, wie die Eingabe zusammengesetzt ist und wie sie mit dem Programmcode zusammenhängt. Die Grammatiken selbst sind für Menschen sehr gut lesbar, da sie so genannte Bezeichner aus dem Programmcode nutzen können.

„Momentan testen wir unseren Prototypen, indem wir Autogram verschiedene Eingabeformate wie etwa JSON oder Tabellendaten analysieren lassen. Als Grundlage nutzen wir dafür rund tausend korrekte Eingaben“, berichtet Alexander Kampmann. Langfristig sollen diese Eingaben aber auch noch wegfallen, so dass man die Grammatik direkt aus dem Programm erlernen kann. Aufbauend auf der Grammatik können Testeingaben erstellt werden, die das Programm systematisch durchleuchten. Wie man dies effizient tut, erforschen die CISPA-Wissenschaftler im Projekt „tribble“, das sie ebenfalls auf der Cebit vorstellen. „Tribble“ nutzt Grammatiken, wie sie von Autogram geliefert werden, um systematisch alle Eingabevariationen und Codestücke abzudecken.

Mit grammatikbasiertem Testen haben die IT-Forscher um Zeller große Erfahrung: 2012 stellten sie den Testgenerator Langfuzz vor, der mit Hilfe einer handgeschriebenen Grammatik den Web-Browser Firefox umfassend testete. Langfuzz ist seit vier Jahren im täglichen Einsatz bei den Firefox-Entwicklern; mit seiner Hilfe haben sie mehr als 4.000 Fehler und Sicherheitslücken gefunden und behoben.

Nun gehen die Saarbrücker Forscher den Schritt von Firefox auf beliebige Programme und Eingabeformate. „Das langfristige Ziel ist vollautomatisches Sicherheitstesten für alle – vom Kleingerät im Internet der Dinge bis zum ausgewachsenen Server“, so Zeller. 

CeBIT 2017 in Halle 6, Stand C47

GRID LIST
Tb W190 H80 Crop Int 4619d0df0bd124e76a7cddedeee215c7

Enterprise-Blockchain-Projekte benötigen sichere Umgebung

e-shelter, Rechenzentrumsanbieter in Europa und ein Unternehmen der NTT Communications,…
Tb W190 H80 Crop Int 09704c7fde40c52fadae7beb26403dc9

Nutzer streuen Fake News in neuem Online-Game

Das neue Online-Game "Bad News" versetzt den Spieler in die Rolle eines aufstrebenden…
Tb W190 H80 Crop Int 0f950fdde662aec7a7276f4b7f9b2f12

Informationsmanagement mit Filero und estos

Das Filero Enterprise Information Management System (EIMS) bietet einen umfassenden…
Tb W190 H80 Crop Int 221379e4359bac5bdcd0256366043388

Software und IT-Lösungen für die digitale Transformation

Was die Industrie an Software und IT-Lösungen braucht, um sich zu vernetzen und digital…
Amy O’Connor

Cloudera ernennt Chief Data and Information Officer

Cloudera hat Amy O'Connor als Chief Data and Information Officer (CDIO) in den Vorstand…
Kooperation

Trivadis und SoftwareONE gehen Partnerschaft ein

Trivadis, ein Oracle-IT-Dienstleistungsunternehmen im DACH-Raum, und SoftwareONE,…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security