Sicherheitsexperten des Softwaretechnik-Instituts paluno an unserer Fakultät haben eine neue Technik entwickelt, die erstmals das Fuzz-Testing von besonders geschützten Speicherbereichen moderner Prozessoren ermöglicht. Mithilfe dieser Methode haben sie jetzt eine Reihe von Schwachstellen in sicherheitskritischen Programmen entdeckt. Gefördert wurde die Forschung im Rahmen des Exzellenzclusters CASA*.

Sie sollen besonders sensible Daten vor Missbrauch schützen – die „Software Guard Extensions“ (SGX) von Intel. Die weit verbreitete Technologie wird eingesetzt, um einen bestimmten Speicherbereich vom Rest eines Computers abzuschirmen. In einer so genannten Enklave, können Prozesse trotzdem weiter ausgeführt werden.

Nicht selten schleichen sich allerdings Fehler bei der Programmierung der Enklaven ein. Bereits 2020 hat das paluno-Team um Prof. Dr. Lucas Davi mehrere Schwachstellen in SGX-Enklaven entdeckt und veröffentlicht. Nun ist den Forschern gemeinsam mit Partnern des Exzellenzclusters CASA ein weiterer Durchbruch bei der Analyse-Technik gelungen: Während sie zuvor den Enklaven-Code auf Basis symbolischer Ausführung analysierten, ermöglicht ihre neueste Entwicklung das sehr viel effektivere Fuzz-Testing.

„Fuzzing lässt sich nicht ohne Weiteres auf Enklaven anwenden – schließlich ist deren Speicherbereich ja extra vor Zugriffen von außen geschützt“, erklärt paluno-Wissenschaftler Tobias Cloosters die Herausforderung. Forschungspartner Johannes Willbold aus dem Forschungskolleg ‚SecHuman – Sicherheit für Menschen im Cyberspace‘ von der Ruhr-Universität Bochum ergänzt: „Auf diese Weise lassen sich die abgeschirmten Bereiche ohne Zugriff auf den Quellcode analysieren.“

Dank moderner Fuzzing-Technik konnten die Forscher viele, bisher unbekannte Sicherheitslücken aufspüren. Betroffen waren diesmal alle getesteten Fingerabdruck-Treiber sowie Wallets zur Aufbewahrung von Kryptowährung. So konnten biometrische Daten gelesen oder das gesamte Guthaben der gespeicherten Krypto-Währung gestohlen werden. Die drei Schwachstellen wurden in das allgemein zugängliche CVE-Verzeichnis** aufgenommen.

* Das Exzellenzcluster CASA (Cyber-Sicherheit im Zeitalter großskaliger Angreifer) wird von der Deutschen Forschungsgemeinschaft (DFG) seit 2019 gefördert und ist am Horst Görtz Institut für IT-Sicherheit (HGI) an der Ruhr-Universität Bochum angesiedelt ist.

**CVE steht für Common Vulnerabilities and Exposures und listet größere, öffentlich bekannte Sicherheitslücken. Die hier referenzierten Schwachstellen haben die CVE-Einträge CVE-2021-3675 (Synaptics Fingerprint Driver), CVE-2021-36218 (SKALE sgxwallet ) und CVE-2021-36219 (SKALE sgxwallet)

Weitere Informationen:

Meldungen aus der UDE (uni-due.de)

Prof. Dr. Lucas Davi, Informatik, Tel. 0201/18 3-6445, lucas.davi (at) uni-due.de

Quelle:

https://www.uni-due.de/2022-07-15-sicherheitsluecken-in-fingerabdrucksensoren-und-kryptowallets