Eine Technik um die Integrität eines anderen Gerätes festzustellen ist "Remote Attestation". Mit Remote-Attestation-Techniken kann ein Gerät prüfen, ob ein anderes Gerät in Ordnung ist. Die Arbeitsgruppe für Systemsicherheit hat in Zusammenarbeit mit Forschern der TU Darmstadt im Rahmen des DFG Sonderforschungsbereichs CROSSING unter dem Titel "SCAtt-man" eine Methode entwickelt, wie Benutzer mit ihrem Smartphone Smart Speaker attestieren und so feststellen können, ob die Software auf Gerät unverändert ist oder ob Viren oder andere Malware installiert wurden. In einer Benutzerstudie wurde festgestellt, dass der Prototyp eine hohe Benutzerfreundlichkeit aufweist. Außerdem gaben die Probanden an, dass dieses Verfahren ihr Vertrauen in Smart Speaker erhöht und sie es verwenden würden, falls dieses Verfahren in ihrem Smart Speaker integriert würde.

Alle weiteren Details sind im Paper zu finden:
Surminski, S., Niesler, C., Linsner, S., Davi, L., & Reuter, C. (2023, April). SCAtt-man: Side-Channel-Based Remote Attestation for Embedded Devices that Users Understand. In Proceedings of the Thirteenth ACM Conference on Data and Application Security and Privacy (pp. 225-236).

Beachte: Denken Sie bitte an die Anmeldungen in den entsprechenden Moodle Kursen für die oben genannten Vorlesungen. Direkt Links zu den Moodle Kursen finden Sie auf unser Lehre Seite. Die Zugangsschlüssel zur Einschreibung in die Moodle-Kurse erhalten Sie jeweils während der ersten Vorlesung.

Eine Technik um die Integrität eines anderen Gerätes festzustellen ist "Remote Attestation". Mit Remote-Attestation-Techniken kann ein Gerät prüfen, ob ein anderes Gerät in Ordnung ist. Die Arbeitsgruppe für Systemsicherheit hat in Zusammenarbeit mit Forschern der TU Darmstadt im Rahmen des DFG Sonderforschungsbereichs CROSSING unter dem Titel "SCAtt-man" eine Methode entwickelt, wie Benutzer mit ihrem Smartphone Smart Speaker attestieren und so feststellen können, ob die Software auf Gerät unverändert ist oder ob Viren oder andere Malware installiert wurden. In einer Benutzerstudie wurde festgestellt, dass der Prototyp eine hohe Benutzerfreundlichkeit aufweist. Außerdem gaben die Probanden an, dass dieses Verfahren ihr Vertrauen in Smart Speaker erhöht und sie es verwenden würden, falls dieses Verfahren in ihrem Smart Speaker integriert würde.

Dieses Projekt wird im April auf der ACM Conference on Data and Application Security and Privacy (CODASPY) in Charlotte (NC) in den Vereinigsten Staaten vorgestellt werden.

Smart Contracts sind Programme, die auf der Blockchain ausgeführt werden. Auf öffentlichen Blockchains führen Sicherheitslücken in Smart Contracts zu Verlusten in Millionenhöhe. CoCoS (Contracts Compiled Securely) ist das erste Verfahren, welches Smart Contracts voll-automatisch gegen verschiedene Angriffsklassen schützt. Dabei unterstützt CoCoS verschiedene Smart Contract-Plattformen und Programmiersprachen, um die sichere Ausführung von Contracts in unterschiedlichen Blockchain Technologien zu ermöglichen und so auch Anwendungen auf privaten Enterprise Blockchains zu schützen.

Der deutsche IT-Sicherheitspreis wird seit 2006 alle zwei Jahre durch die Horst Görtz Stiftung vergeben und wurde in diesem Jahr von der 2. Innovationskonferenz Cybersicherheit flankiert. Gemäß dem erklärten Ziel des Preises, den Wirtschaftsstandort Deutschland im Punkt IT-Sicherheit zu fördern, werden die Gewinnerkonzepte durch eine unabhängige Jury nicht nur nach wissenschaftlichen, sondern auch nach wirtschaftlichen Kriterien begutachtet und ausgewählt.

Bei der Verleihung des 8. deutschen IT-Sicherheitspreises im Jahr 2020 reichte unsere Gruppe mit Tobias Cloosters, Michael Rodler und Prof. Lucas Davi eine Arbeit zur Schwachstellenanalyse von Trusted Execution Environments ein, und belegte damit den 3. Platz.

Tobias Cloosters präsentierte RiscyROP: Automated Return-Oriented Programming Attacks on RISC-V and ARM64. Diese Arbeit analysiert den eingeschränkten Gadget-Raum für Return-Oriented Programming auf RISC-V und ARM64 und stellt ein Werkzeug vor, um ROP-Chains aus dem begrenzten und komplexen Gadget-Raum zu erzeugen.

Tobias Cloosters und Sebastian Surminski haben ihre Arbeit zum Thema Runtime Attestation von SGX Enlaves vorgestellt. Anhand eines Videoplayers für Videostreaming haben sie gezeigt, wie man Applikationen in SGX Enclaves um Control Flow Attestation erweitern kann um Runtime Attacks zu detektieren.

Beachte: Für die Studierenden der Vorlesungen Secure Software Systems und Reverse-Engineering  Software Systems werden wir in der ersten Vorlesungseinheit jeweils am Donnerstag den 13.10.22 ausführlich die zu verwendenden Tools und Virtual Machine Images vorstellen. Diese werden für die praktischen Laborübungen benötigt. Zudem wird für beide Vorlesungen im Moodle Kurs ein BBB-aufgezeichntes Video zur Verfügung gestellt, welches die Kursinhalte der Veranstaltung vorstellt und organisatorische Aspekte der Vorlesung bespricht. Mit den Upload der BBB-Aufzeichnungen kann bis Ende September gerechnet werden. 

Allerdings wächst auch in Hacker-Kreisen das Interesse an Smart Contracts. Die Programme sind permanent online. Sobald irgendwo eine Schwachstelle im Code entdeckt wird, kann diese leicht ausgenutzt werden. In jüngster Zeit kam es zu mehreren Diebstählen von Kryptowährung, weil Smart Contracts Sicherheitslücken aufwiesen, die nicht schnell genug geschlossen wurden. 

Mit den Mitteln des ERC Starting Grant planen wir die erste Lösung zum Schutz von Smart Contracts zu realisieren, die alle Entwicklungs- und Einsatzphasen einer Blockchain abdeckt: Ein Schlüsselelement wird der erste Compiler für Smart Contracts sein, der Programmierfehler schon in der Entwicklungsphase aufdeckt und automatisch behebt. Cyberangriffe auf laufende Transaktionen sollen durch ein neues Monitoring-Werkzeug erkannt und rechtzeitig abgewehrt werden, bevor sie größeren Schaden anrichten. Um schließlich auch die Sicherheit bestehender Verträge zu bewerten und die Gründe für Cyberangriffe besser zu verstehen, forschen wir zudem an neuartigen forensischen Analyseverfahren.

ERC Starting Grants sind Förderinstrumente des Europäischen Forschungsrats (European Research Council, ERC), die junge Wissenschaftler:innen dabei unterstützen sollen, den Karrieresprung zu unabhängigen Spitzenforschern zu machen. Bei Antragstellung dürfen seit dem Erlangen des Doktorgrades höchstens sieben Jahre vergangen sein. Das ausdrücklich einzige Bewertungskriterium ist die wissenschaftliche Exzellenz des Forschers bzw. der Forscherin und des vorgeschlagenen Projekts. Weitere Informationen: https://erc.europa.eu/funding/starting-grants

Seit einigen Jahren arbeiten wir mit der Firma NEC Labs an Lösungen, um Smart Contract Ausführung sicherer zu machen und haben in diesem Bereich schon einige Ergebnisse erzielt. Für den interessierten Leser sei an dieser Stelle unsere Projektseite erwähnt: Smart Contract Security Research

Nicht selten schleichen sich allerdings Fehler bei der Programmierung der Enklaven ein. Bereits 2020 hat unsere Arbeitsgruppe mehrere Schwachstellen in SGX-Enklaven entdeckt und veröffentlicht (zum Artikel: Gefahr für sensible Daten). Nun ist uns gemeinsam mit Partnern des Exzellenzclusters CASA ein weiterer Durchbruch bei der Analyse-Technik gelungen:  Während wir zuvor den Enklaven-Code auf Basis symbolischer Ausführung analysierten, ermöglicht unsere neueste Entwicklung das sehr viel effektivere Fuzz-Testing. Hierbei wird ein Programm mit einer großen Anzahl von Eingaben konfrontiert, um Rückschlüsse auf die Struktur des Codes zu ziehen. „Fuzzing lässt sich nicht ohne Weiteres auf Enklaven anwenden – schließlich ist deren Speicherbereich ja extra vor Zugriffen von außen geschützt“, erklärt Tobias Cloosters (wissenschaftl. Mitarbeiter in unserer Arbeitsgruppe) die Herausforderung. „Außerdem sind für das Fuzzing verzweigte Datenstrukturen notwendig, welche wir dynamisch aus dem Enklaven-Code rekonstruieren.“ Forschungspartner Johannes Willbold aus dem Forschungskolleg "SecHuman - Sicherheit für Menschen im Cyberspace" von der Ruhr-Universität Bochum ergänzt: „Auf diese Weise lassen sich die abgeschirmten Bereiche ohne Zugriff auf den Quellcode analysieren.“

Dank moderner Fuzzing-Technik konnten wir viele, bisher unbekannte Sicherheitslücken aufspüren. Betroffen waren diesmal alle getesteten Fingerabdruck-Treiber sowie Wallets zur Aufbewahrung von Kryptowährung. Hacker könnten diese Schwachstellen ausnutzen, um biometrische Daten auszulesen oder das gesamte Guthaben der gespeicherten Krypto-Währung zu stehlen. Alle Hersteller wurden informiert; das SKALE Network zeigte sich für die Hinweise sogar mit einer „Bug-Bounty“-Prämie in Form von Krypogeld erkenntlich. Drei Schwachstellen wurden in das allgemein zugängliche CVE-Verzeichnis aufgenommen. Die Ergebnisse unserer Arbeit werden auf dem USENIX Security Symposium in Boston (USA) im August vorgestellt.

Weitere Infos

CVE steht für Common Vulnerabilities and Exposures und listet größere, öffentlich bekannte Sicherheitslücken. Die hier referenzierten Schwachstellen haben die CVE-Einträge CVE-2021-3675 (Synaptics Fingerprint Driver), CVE-2021-36218 (SKALE sgxwallet ) und CVE-2021-36219 (SKALE sgxwallet)

Veröffentlichung: Cloosters, Tobias; Willbold, Johannes; Holz, Thorsten; Davi, Lucas Vincenzo: SGXFuzz: Efficiently Synthesizing Nested Structures for SGX Enclave Fuzzing. In: Proc. of 31st USENIX Security Symposium. 2022. Pre-Print: SGXFuzz: Efficiently Synthesizing Nested Structures for SGX Enclave Fuzzing

TEE Projektseite: Analysis of TEE Software 

DFG Exzellenzcluster CASA: Link zur CASA-Website