Forum Safety & Security 2017 Erschreckend einfach

Auf unserem diesjährigen Forum „Safety & Security“ in München zeigte Martin Sturm, Gesellschafter von Triforx, wie bereits berichtet, anhand eines Live-Hacks, wie einfach es ist, eine Industrieanlage zu übernehmen.

In diesem speziellen Fall war das kein Problem für den Systemhersteller, denn er war der Auftraggeber für Sturm. Er sollte für ihn herausfinden, ob das System sicher gegenüber Hackerangriffen ist. Nachdem die Antwort eindeutig „nein“ war, wurde das Einfallstor behoben, über das Sturm das System von außen übernehmen konnte.

Sturm gehört für Thomas Haller, Experte für die Sicherheit elektronischer Systeme und IT-Security Manager (TÜV) bei Newtec, zu den „White hats“, die im Dienste der beauftragenden Firmen tätig sind und durch Angriffe Schwachstellen aufzeigen. Die kriminellen Hacker bezeichnet er als „Black hats“. Ihnen ginge es um Spionage oder Sabotage – gerne auch als Auftragsarbeiten.

Haller glaubt, dass man sich gegen diese Art von Angriff nur sehr schwer wehren kann – wenn überhaupt, dann nur mit großem finanziellen Aufwand, denn die Angreifer verfügen seiner Aussage nach selbst häufig über große finanzielle Ressourcen und sind über Schwachstellen informiert, die nicht öffentlich bekannt sind. Das größte Problem seien jedoch die „Grey hats“, die Martin Sturm auch als „script kiddies“ bezeichnet. Die script kiddies setzten auf breit gestreute Angriffe, allerdings muss der Angriff schnell von Erfolg gekrönt sein, sonst verlieren sie das Interesse. Haller: »Wenn Sie die ersten zehn Minuten eines solchen Angriffs überstehen, haben Sie gewonnen.«

Wie kann man sich wehren? Dr. Daniel Kästner, CTO von AbsInt, ist der Überzeugung, dass viele Security-Schwachstellen aufgrund von Programmierfehlern, einschließlich Runtime-Errors und Data Races, entstehen. Dazu zählen Buffer-Overflows (Stack and Heap), ungültige Pointer-Zugriffe, nicht initialisierte Speicherzugriffe etc., die Denial-of-Service-Attacken, Code-Injektion oder Datenschutzverletzungen ermöglichen. Laut Kästner werden statische Analysatoren wie Astrée von AbsInt dazu verwendet, zu untersuchen, ob die C-Sprache korrekt eingesetzt wurde und ob es Laufzeitfehler in allen möglichen Ausführungsszenarien unter allen möglichen Bedingungen gibt.

Bislang wurde dieser Ansatz vorwiegend genutzt, um die funktionale Sicherheit abzusichern, doch Kästner ist der Überzeugung, dass mit statischen Analysatoren auch Security-Schwachstellen gefunden werden können. Kästner: »Wenn keine Laufzeitfehler auftreten, ist die Security schon mal ziemlich gut.« Ähnlich argumentiert Frank Büchner, Principal Engineer Software Quality bei Hitex, wobei er sich auf kleine Embedded-Systeme bezieht, auf denen kein Betriebssystem läuft. Auch hier könnte ein statischer Analysator – Büchner hat das Klocwork-Tool benutzt – genutzt werden, um Security-Schwachstellen zu finden. Büchner mahnt: »Security ist die Voraussetzung.

Nur wenn ein System „secure“ ist, dann ist es auch „safe“. Ein nur safes System, das nicht secure ist, gibt es nicht.« Darüber hinaus gibt es natürlich noch weitere Möglichkeiten, die Security eines Systems zu erhöhen. Dazu zählt die Nutzung eines sicheren Betriebssystems, der Einsatz von Security-Chips, der L4Re-Microhypervisors oder die ARM TurstZone für ARMv8-M.