Kontakt
QR-Code für die aktuelle URL

Story Box-ID: 16920

Universität des Saarlandes Postfach 151150 66041 Saarbrücken, Deutschland http://www.uni-saarland.de
Ansprechpartner:in Prof. Dr. Rolf Hempelmann +49 681 3024750
Logo der Firma Universität des Saarlandes
Universität des Saarlandes

Aus Sicherheitslücken von Software lernen

Saarbrücker Ansatz deckt Schwachstellen in Software auf

(lifePR) (Saarbrücken, )
Sicherheitslücken in Software sorgen für enorme Schäden. Nach einer FBI-Studie aus dem Jahr 2005 verursacht Computerkriminalität für die US-Wirtschaft einen jährlichen Verlust von 67 Milliarden Dollar. Die Ursache ist meist nicht ausreichend geschützte und damit verwundbare Software. Forscher an der Universität des Saarlandes haben nun einen neuen Ansatz vorgestellt, wie man aus früheren Sicherheitslücken lernt und automatisch vorhersagt, wie verwundbar eine Software-Komponente ist.

Alles beginnt mit einem Leck: In einem Programm wird eine Sicherheitslücke bekannt, mit deren Hilfe sich ungebetene Gäste Zugang verschaffen können. Dieses Leck wird in der Regel vom Programmanbieter gestopft, der dann möglichst schnell eine überarbeitete Version verbreiten muss. All diese Aktivitäten werden systematisch in großen Datenbanken aufgezeichnet. Diese Datenbanken haben die Saarbrücker Forscher am Lehrstuhl für Softwaretechnik von Professor Dr. Andreas Zeller genau analysiert: Zunächst wurde bestimmt, wo im Programm die meisten Schwachstellen sind. Mit den Daten wird eine Graphik erzeugt, die wie eine Landkarte aussieht: Je röter eine Komponente erscheint, desto verwundbarer ist sie. Eine solche Abbildung ermöglicht den Programmierern, die verwundbaren Komponenten zu identifizieren und zu untersuchen.

Daneben kann der Saarbrücker Ansatz auch vollautomatisch vorhersagen, wo die nächste Lücke auftreten wird: „Wir schauen uns an, mit welchen anderen Programmteilen eine verwundbare Komponente zusammenarbeitet“, so Thomas Zimmermann, der das Verfahren mit dem Doktoranden Stephan Neuhaus zusammen entwickelt hat. „Es stellt sich heraus, dass verwundbare Komponenten mit ähnlichen Teilen zusammenarbeiten.“ Oder, wie Projektleiter Professor Dr. Zeller es formuliert: „Sage mir, mit wem du sprichst und ich sage dir, wie verwundbar du bist.“ Eine dokumentierte Fehler- und Änderungsgeschichte, wie sie von einschlägigen Werkzeugen automatisch angelegt wird, bildet die Grundlage für diese Schwachstellen-Bestimmung.

Die Saarbrücker Forscher untersuchten als praktische Beispiele die Web-Browser Firefox und Mozilla. Bei letzterem hatten sie im Januar eine Liste von zehn Mozilla-Quellcode-Dateien erstellt, bei denen sie Sicherheitslücken vermuteten. Bei fünf dieser zehn Dateien wurden in den vergangenen sechs Monaten tatsächlich wie vorausgesagt Sicherheitslücken festgestellt – und behoben. Dieser Erfolg ließ die internationale Fachwelt aufhorchen.

Im November wird das Saarbrücker Verfahren nun auf einer der wichtigsten Sicherheits-Konferenzen veröffentlicht, der ACM Computer and Communication Security in Virginia, USA.(Details zur Konferenz: http://www.sigsac.org/...) Es wurde dort als einziger Beitrag einer deutschen Wissenschaftlergruppe ausgewählt.
Für die oben stehenden Stories, das angezeigte Event bzw. das Stellenangebot sowie für das angezeigte Bild- und Tonmaterial ist allein der jeweils angegebene Herausgeber (siehe Firmeninfo bei Klick auf Bild/Titel oder Firmeninfo rechte Spalte) verantwortlich. Dieser ist in der Regel auch Urheber der Texte sowie der angehängten Bild-, Ton- und Informationsmaterialien. Die Nutzung von hier veröffentlichten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Bei Veröffentlichung senden Sie bitte ein Belegexemplar an service@lifepr.de.
Wichtiger Hinweis:

Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die unn | UNITED NEWS NETWORK GmbH gestattet.

unn | UNITED NEWS NETWORK GmbH 2002–2024, Alle Rechte vorbehalten

Für die oben stehenden Stories, das angezeigte Event bzw. das Stellenangebot sowie für das angezeigte Bild- und Tonmaterial ist allein der jeweils angegebene Herausgeber (siehe Firmeninfo bei Klick auf Bild/Titel oder Firmeninfo rechte Spalte) verantwortlich. Dieser ist in der Regel auch Urheber der Texte sowie der angehängten Bild-, Ton- und Informationsmaterialien. Die Nutzung von hier veröffentlichten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Bei Veröffentlichung senden Sie bitte ein Belegexemplar an service@lifepr.de.