Automatisierte Sicherheitsanalyse von kryptografischen Protokollen gegen Seitenkanalangriffe
Mit dem Eingang des Bewilligungsbescheides fiel Anfang Mai der Startschuss für das Projekt AutoSCA - Automatisierte Schwachstellenanalyse von kryptographischen Protokollen. In dem Vorhaben erforschen im Software Innovation Campus Paderborn das SI-Lab der Universität Paderborn, die achelos GmbH, ein herstellerunabhängiges Software-Entwicklungs- und -Beratungshaus mit Sitz in Paderborn, und Prof. Dr. Tibor Jager von der Bergischen Universität Wuppertal gemeinsam methodisch neue Techniken zur automatischen Erkennung von Schwachstellen in kryptographischen Protokollen und die automatisierte Erkennung von Seitenkanälen auf Netzwerkprotokollebene mithilfe moderner Machine-Learning-Verfahren. Assoziierter Partner in dem Vorhaben ist die TÜV Informationstechnik GmbH, TÜV NORD GROUP. Das Projekt mit einem Gesamtvolumen von 790.000 Euro wird vom Bundesministerium für Bildung und Forschung (BMBF) gefördert. Die Laufzeit des Vorhabens beträgt drei Jahre.
Digital vernetzte, wandelbare „Fabrik der Zukunft“
Die Entwicklungen im Zusammenhang mit Industrie 4.0 treiben die Vernetzung von Anlagen und Maschinen, dem Industrial Internet of Things (IIoT), immer weiter voran. Diese Zunahme der Vernetzung ist ein wichtiger Faktor auf dem Weg zur smarten, wandelbaren „Fabrik der Zukunft“ und eröffnet bemerkenswerte Potenziale zur Optimierung von Prozessen. Gleichzeitig vergrößert sie aber auch die Angriffsfläche auf die IT-Infrastruktur eines Unternehmens. Ein kontinuierlich wirksamer Schutz der IT-Sicherheit in Unternehmen, um bestehende und neue Sicherheitsrisiken schnell erkennen und bewerten zu können, wird somit immer wichtiger. „Genau an diesem Punkt setzt unser Projekt AutoSCA an. Eine fortlaufende Prüfung der Wirksamkeit getroffener Schutzmaßnahmen ist eine große Herausforderung in komplexen und heterogenen Systemlandschaften. Dies betrifft insbesondere die Sicherheit von Software mit ihrer häufig kaum überschaubaren Menge an Programmzeilen. Das automatisierte Testen der Korrektheit von Softwareimplementierungen ist daher ein notwendiger Schritt zur Entlastung fachlichen Personals“, erläutert Dr. Simon Oberthür, Projektleiter und R&D Manager des Kompetenzbereichs „Digital Security“ im SICP – Software Innovation Campus Paderborn, die Notwendigkeit des Vorhabens.
Analyse von Seitenkanalangriffen
Diese effektive und effiziente Automatisierung wird dabei durch die Verbindung von neuen Erkenntnissen in der IT-Sicherheit mit den Methoden der Künstlichen Intelligenz (KI) ermöglicht. „Bei der Analyse von Seitenkanalangriffen geht es um das automatische Entdecken und Kategorisieren komplexer Muster in hochdimensionalen Daten. Maschinelle Lernverfahren sind für Probleme dieser Art hervorragend geeignet. Besonders vielversprechend sind Deep-Learning-Methoden basierend auf tiefen neuronalen Netzen, die wir mit modernen Techniken des automatisierten maschinellen Lernens (AutoML) und der Hyperparameter-Optimierung kombinieren wollen“, erläutert Prof. Dr. Eyke Hüllermeier, Direktor des Kompetenzbereichs „Smart Systems“ im SICP und Leiter der Fachgruppe „Intelligente Systeme und Maschinelles Lernen“ an der Universität Paderborn. Der Fokus liegt dabei auf Schwachstellen, die auf physikalischen oder logischen Nebeneffekten der Implementierungen, sogenannten Seitenkanälen, beruhen. Auf dieser Forschung aufbauend wird ein Werkzeug zur automatisierten Erkennung von komplexen kryptographischen Angriffstechniken in einem Proof-of-Concept implementiert.
Schwachstellen automatisiert erkennen
„Moderne kryptographische Verfahren sind in der Regel so stark, dass man die eigentlichen Algorithmen kaum noch „knacken” kann. Seitenkanalangriffe umgehen das jedoch geschickt und sind deshalb der praktischste Ansatz, um auch die Sicherheit von sehr starken kryptographischen Algorithmen anzugreifen. Wir entwickeln innerhalb des Vorhabens Techniken, um Schwachstellen bereits in der Entwicklungsphase automatisiert zu erkennen und dadurch Sicherheitslücken und „Daten-Leaks” von vorneherein zu vermeiden“, so Prof. Dr. Tibor Jager, Leiter der Fachgruppe „IT-Sicherheit und Kryptographie“ an der Bergischen Universität Wuppertal. Thomas Freitag, Geschäftsführer der achelos GmbH, ergänzt: „Sicherheit und Kryptografie zählen zu den Kernkompetenzen von achelos. Im Förderprojekt AutoSCA bringen wir unsere praktische Erfahrung aus dem Testmanagement sowie unsere hochperformanten Testwerkzeuge ein. Diese eignen sich optimal, um die Anforderungen an Testziele zu definieren, und ermöglichen gleichzeitig ein automatisiertes Erkennen und Behandeln von kryptografischen Schwachstellen. Wir freuen uns, unsere Testwerkzeuge im Rahmen des Projekts durch die Einbindung von Komponenten der Künstlichen Intelligenz auf ein neues Level zu heben.“
Erhöhung der IT-Sicherheit in Unternehmen
Ziel des Projektes ist es, aktuelle Themen wie Künstliche Intelligenz und IT-Sicherheit in die wirtschaftliche Praxis zu übertragen. „Genau das hilft uns dabei, Schwachstellen aufzudecken und erhöht so die IT-Sicherheit in den Unternehmen. Auf diese Weise wird zudem ein erheblicher Nutzen für die Unternehmen erzeugt, die keine eigene Forschung betreiben können, wie kleine und mittlere Unternehmen“, so Dr. Simon Oberthür.
Es ist vorgesehen, die Erkenntnisse aus dem Vorhaben in ein Reallabor zum Thema Erleben/Erfahrbarkeit und Verstehen innovativer Methoden zu integrieren. Methoden der Künstlichen Intelligenz sollen auf diese Weise für interessierte Parteien verständlicher gemacht werden und ihnen so den fachlichen Dialog und die Teilnahme an Forschungsprojekten erleichtern.
Weitere Informationen: https://www.sicp.de/projekte/autosca/
Kerstin Sellerberg, Software Innovation Campus Paderborn
