Home|Impressum|Kontakt|Sitemap|Login
SecFlow Logo
  
Über Secflow
Aktuelles
Datenflussbasierte Analyse
SecFlow Tools
Wissensbasis
Forum
Downloads / Links
Partner

Das SecFlow Projekt
 
Entwicklung manipulationssicherer Software: IT-Sicherheitsprobleme an der Quelle beseitigen

(12.684 kb)Ein Internet-Browser, der auf besuchten Webseiten hinterlegten Code ohne weitere Fragen einfach ausführt, ein Server-Prozess mit besonderen System-Rechten, der sich durch geschickt gewählte Eingabedaten für nicht vorgesehene Zwecke missbrauchen lässt- das sind Beispiele für IT-Sicherheitsprobleme, die durch sorglose Programmierung verursacht wurden.

Forscht man nach den Ursachen all der IT-Sicherheitsprobleme, die fast täglich gemeldet werden, so stellt man fest, dass neben Fehlern in der Konfiguration von Systemen und Diensten (z.B. für jedermann ohne Identitätsnachweis offen stehende Dienste) und Fehlern in der Benutzung (z.B. vertrauensseliges Klicken auf Links in E-Mails von Unbekannten) ein großer Teil der Schwachstellen letztlich auf Fehler in der Programmierung der eingesetzten Software zurückzuführen ist.

Wie wichtig die saubere Programmierung für die IT-Sicherheit ist, wird erst in jüngster Zeit den Verantwortlichen langsam klar. Bisherige Sicherheitsmaßnahmen wie z.B. Firewalls oder Virenscanner setzen nämlich nicht an der Wurzel des Problems (die Programmierfehler in den Anwendungen) an, sondern versuchen die Schwachstellen zu überdecken, indem ihre Ausnutzung erschwert wird, ohne aber die Schwachstellen zu beseitigen. Solche "Reparaturmaßnahmen" sind aber in der Praxis nie wirklich vollständig, und die Verteidiger laufen auch immer den Angreifern hinterher. In der heutigen Software-Entwicklung gilt die Sicherheit gegen Manipulationen allzu oft noch als nachgeordneter Aspekt, dem man sich widmet "wenn am Ende noch Zeit ist" (was dann in der Praxis so gut wie nie der Fall ist) - erst wenn eine Schwachstelle bekannt wird, muss in großer Hektik der entstandene Schaden (Imageschaden und finanzielle Einbußen) mit weitaus höherem Aufwand beseitigt werden, als seine Vermeidung gekostet hätte.

Besser ist es deshalb, Software von vornherein manipulationssicher zu entwickeln: Auch wenn Maßnahmen wie Firewalls und Virenscanner wohl niemals überflüssig werden, gilt auch bei der IT-Sicherheit "Fehlervermeidung ist besser als Fehlerbehebung". Im Projekt SecFlow haben sich deshalb ein Software-Forschungsinstitut und drei Software- und IT-Sicherheitsunternehmen zusammengeschlossen, um gemeinsam ein Werkzeug zu entwickeln, das eine der wichtigsten Arten von Anfälligkeit für böswillige Manipulationen automatisch im Quelltext der betroffenen Software erkennen kann. Fehler, bei denen sich Programme durch geschickt manipulierte Eingabedaten zu sicherheitswidrigem Verhalten verleiten lassen, sollen dann der Vergangenheit angehören.

 


 
Das SecFlow-Projekt wird vom Bundesministerium für Bildung und Forschung im Rahmen des Programms Software Engineering 2006 gefördert.

Aktuelles

12/2006
Übergabe von Testfällen an IESE

05/2007
Fertigstellung des Source Code Scanners und der Dynamic Security

06/2007
Erster Datenfluss Prototyp für Java

10/2007
Schnittstelle zur .NET-Welt geschaffen

10/2007
Wissensbasis mit 30 Fällen wir projektintern freigeschaltet

11/2007
SecFlow jetzt OpenSource

12/2007
Beschreibungssprache Flow

04/2008
Flow Dokumentation

06/2008
Praxisnaher Werkzeugtest

11/2008
Wissensbasis Online