Evaluating Cryptographic API Misuse Detectors for Go
Dieser Artikel stellt die erste umfassende Studie zur fehlerhaften Verwendung kryptografischer APIs in Go vor, indem er eine Taxonomie von 14 Fehlgebrauchsklassen erstellt, vier Erkennungstools über 328 Projekte hinweg bewertet und 7.473 Sicherheitslücken identifiziert, um erhebliche Lücken in der aktuellen Erkennungsabdeckung aufzuzeigen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie bauen eine Festung. Sie verfügen über die besten und sichersten Schlösser der Welt (kryptografische APIs), um Ihren Schatz zu schützen. Doch wenn Sie das Schloss verkehrt herum installieren, einen schwachen Schlüssel verwenden oder vergessen, die Tür abzuschließen, ist Ihre Festung genauso verwundbar, als hätten Sie überhaupt kein Schloss. Genau das passiert, wenn Entwickler kryptografische Werkzeuge „missbrauchen": Sie glauben, sicher zu sein, weil sie die richtige Technologie eingesetzt haben, machen aber einen Fehler bei der Art und Weise, wie sie sie verwenden.
Dieser Artikel ist wie eine Qualitätskontrolle für ein bestimmtes Baumaterial: die Go-Programmiersprache. Go ist die Sprache, mit der einige der kritischsten Infrastrukturen des Internets gebaut werden (wie die Systeme, die den Internetverkehr verwalten oder Rechenzentren sichern). Während Experten diese „Fehler bei der Schlossinstallation" in anderen Sprachen (wie Java) seit Jahren untersuchen, hatte bisher niemand wirklich die Go-Baustellen überprüft.
Hier ist, was die Forscher getan haben, einfach erklärt:
1. Die Inspektoren (Die Werkzeuge)
Die Forscher stellten vier verschiedene „Sicherheitsinspektoren" (Software-Tools) zusammen, um Go-Code auf diese Fehler zu scannen:
- CodeQL: Ein leistungsstarker, akademisch angehauchter Inspektor, der den Datenfluss durch den Code analysiert.
- Gopher: Ein spezialisiertes Tool, das speziell für Go entwickelt wurde und dafür bekannt ist, sehr aggressiv nach potenziellen Problemen zu suchen.
- Gosec: Ein beliebtes, von der Community entwickeltes Tool, das auf häufige Sicherheitsfehler prüft.
- Snyk Code: Ein kommerzielles Tool, das KI und statische Analyse nutzt, um Fehler zu finden.
2. Der Bauplan (Die Taxonomie)
Bevor sie mit dem Scannen begannen, erstellten die Forscher eine Hauptcheckliste mit 14 verschiedenen Möglichkeiten, wie ein Entwickler Kryptografie falsch anwenden kann. Stellen Sie sich dies wie eine Liste häufiger Fehler vor, wie zum Beispiel:
- Ein zu altes und schwaches Schloss verwenden (unsichere Algorithmen).
- Einen Schlüssel verwenden, der zu kurz oder leicht zu erraten ist (zu kurze Schlüssellänge).
- Vergessen zu prüfen, ob die Person an der Tür tatsächlich die ist, die sie vorgibt zu sein (keine Validierung des Host-Schlüssels).
- Ein vorhersagbares Muster für den Mechanismus des Schlosses verwenden (vorhersagbare IVs).
3. Die Inspektion (Das Experiment)
Sie nahmen 328 reale, populäre Go-Projekte (wie die Software, die Kubernetes oder Terraform betreibt) und führten alle vier Inspektoren daran aus.
- Das Ergebnis: Die Inspektoren fanden insgesamt 7.473 Fehler.
- Die Überraschung: Die Inspektoren waren sich überhaupt nicht einig.
- Gosec war am aktivsten und fand die meisten Fehler, markierte aber auch viele Dinge als problematisch, die tatsächlich nicht gefährlich waren (wie das Finden eines „schwachen Schlosses" in einer Beispieldatei, die niemand im echten Leben verwenden würde).
- Gopher fand eine einzigartige Reihe von Fehlern, die die anderen übersehen hatten, blieb aber manchmal stecken oder scheiterte beim Ausführen auf bestimmten Projekten.
- Snyk Code war sehr schnell und präzise, fand weniger Fehler, war sich aber bei den gefundenen Fehlern sehr sicher.
- CodeQL war der Langsamste (es dauert lange, seine „Datenbank" des Codes einzurichten), fand aber einige sehr spezifische, komplexe Fehler, die die anderen übersehen hatten.
4. Das Urteil
Die Hauptaussage ist, dass kein einzelner Inspektor perfekt ist.
- Wenn Sie nur ein Tool verwenden, könnten Sie ein riesiges Loch in Ihrer Wand übersehen, weil dieses Tool nicht wusste, wonach es suchen muss.
- Wenn Sie alle verwenden, erhalten Sie viele „Fehlalarme" (Warnungen über Dinge, die eigentlich nicht defekt sind), was überwältigend sein kann.
Die Forscher stellten fest, dass sich die Tools oft nicht einigten, ob ein bestimmtes Code-Stück tatsächlich ein Fehler war. Zum Beispiel könnte ein Tool sagen: „Dieser Schlüssel ist zu kurz!", während ein anderes sagt: „Das ist in Ordnung."
Das Fazit
Diese Studie ist das erste Mal, dass jemand systematisch überprüft hat, wie gut wir diese spezifischen Sicherheitsfehler in Go-Code finden können. Sie entdeckten, dass wir zwar Werkzeuge zur Hilfe haben, diese derzeit aber wie eine Gruppe von Inspektoren sind, die verschiedene Sprachen sprechen und unterschiedliche Definitionen davon haben, wie ein „defektes Schloss" aussieht.
Um Go-basierte Systeme sicher zu halten, sollten Sicherheitsingenieure sich nicht auf nur ein Tool verlassen. Stattdessen sollten sie eine Kombination dieser Tools (ein „Ensemble") verwenden, um das breiteste Netz an Fehlern zu fangen, wobei sie verstehen müssen, dass sie die Ergebnisse manuell überprüfen müssen, um echte Gefahren von Fehlalarmen zu unterscheiden.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.