Hidden Ciphers and Where to Find Them: Static Discovery and Assessment of Cryptographic Assets in Software
Dieses Paper präsentiert einen klassifizierungsgesteuerten statischen Analyseansatz zur Entdeckung und Bewertung kryptografischer Assets über Softwaresysteme hinweg und demonstriert dessen Effektivität bei der Identifizierung von Schwachstellen sowie Post-Quanten-Migrationskandidaten zur Verbesserung der Sicherheitsgovernance und Transparenz.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Die unsichtbare Festung und die Karte zu ihrer Entdeckung
Stellen Sie sich vor, jede Software, die Sie heute nutzen – Ihr Lieblingsvideospiel, Ihre Banking-App, sogar Ihr smarter Kühlschrank – ist in einer massiven, unsichtbaren Festung gebaut. Die Mauern dieser Festung bestehen aus Kryptographie, einer speziellen Art von mathematischer Magie, die Ihre Daten wegschließt, damit nur die richtigen Personen sie öffnen können. Es ist der Grund, warum Ihre Passwörter geheim bleiben und Ihre Nachrichten nicht von Fremden gelesen werden können. Lange Zeit haben Unternehmen einfach nur gehofft, dass diese Mauern stark genug seien, aber sie hatten keine echte Karte, um zu sehen, wo die Ziegel waren, wo die Türen lagen oder ob einige davon aus Pappe statt aus Stahl bestanden.
Nun klopft eine neue Bedrohung an die Tür: Quantencomputer. Dies sind superstarke Maschinen, die in der Zukunft in der Lage sein könnten, heutige kryptographische Schlösser zu zertrümmern, als wären sie aus Papier. Um dies zu überleben, müssen Organisationen genau wissen, welche Art von Schlössern sie derzeit besitzen, damit sie diese gegen „quantensichere“ Modelle austauschen können, bevor die Bösewichte eintreffen. Aber hier liegt das Problem: Diese digitalen Schlösser sind überall verstreut. Sie sind in Codezeilen verborgen, in Konfigurationsdateien vergraben, in geheimen Schlüsseln versteckt und in die Softwarebibliotheken eingemischt, die Programme verwenden. Ohne eine Möglichkeit, sie alle zu finden, kann man sie nicht repariieren. Hier setzt ein neues Paper an, das eine Taschenlampe für die dunklen Ecken der Software bietet.
Das Paper: Eine Schatzsuche nach digitalen Schlössern
Das Paper mit dem Titel „Hidden Ciphers and Where to Find Them“ stellt eine clevere neue Methode vor, um diese verborgenen kryptographischen Assets aufzuspüren. Die Autoren, Christian Näther und Eduard Hirsch, erkannten, dass die Suche nach diesen Schlössern der Versuch war, ein unordentliches Zimmer zu reinigen, ohne eine Liste zu haben, was überhaupt hineingehört. Einige suchten nach spezifischen Arten von Schlüsseln, während andere nur ratierten. Die Autoren beschlossen, eine systematische Schatzsuche zu konstruieren.
Zuerlich erstellten sie ein Klassifizierungssystem, das wie ein Satz aus drei verschiedenen Lupen ist, um die Software zu betrachten. Sie erkannten, dass kryptographisches „Zeug“ in drei verschiedenen Geschmacksrichtungen vorkommt:
- Krypto-Material: Dies sind die eigentlichen Geheimnisse, wie zum Beispiel die privaten Schlüssel und Passwörter selbst. Denken Sie an die tatsächlichen Goldmünzen in der Schatzkiste.
- Krypto-Artefakte: Dies sind die strukturierten Behälter, wie Zertifikate oder digitale Ausweise, die Informationen darüber halten, wer erlaubt ist, einzutreten. Dies sind die schicken Boxen, in denen die Münzen liegen.
- Krypto-Aufrufe (Invocations): Dies sind die Momente, in denen die Software die Magie tatsächlich nutzt. Es ist wie das Beobachten von jemandem, der einen Schlüssel im Schloss dreht oder ein Passwort eintippt. Dies ist die Handlung des Gebrauchs des Schatzes.
Um diese Jagd effizient zu gestalten, bauten die Autoren zwei Hauptwerkzeuge. Das erste ist ein Regel-Repository namens „Crypistry“. Stellen Sie sich dies als ein riesiges, sich ständig aktualisierendes Kochbuch vor. Anstatt Anweisungen fest in einen Roboter zu programmieren, listet das Kochbuch genau auf, wonach gesucht werden soll (wie „finde jede Datei, die auf .pem endet“ oder „suche nach dem Befehl OpenSSL::Cipher“). Das bedeutet: Wenn ein neuer Typ von Schloss erscheint, fügen Sie einfach ein neues Rezept zum Buch hinzu; Sie müssen nicht den ganzen Roboter neu bauen.
Das zweite Werkzeug ist der Scanner namens „Crypsy“. Dies ist der Roboter, der das Kochbuch liest und die Software scannt. Er rät nicht einfach; er folgt den Regeln, um das Material, die Artefakte und die Aufrufe zu finden. Sobald er sie findet, listet er sie nicht nur auf; er bewertet sie. Er prüft, ob ein Schloss schwach ist (wie ein rostiges Scharnier) oder ob es eine bekannte Schwachstelle ist (wie eine Tür, die schon einmal von Dieben geknackt wurde). Er gibt dann ein CBOM (Cryptographic Bill of Materials) aus, was im Grunde eine detaillierte Inventarliste jedes gefundenen Schlosses und Schlüssels ist, die bereitsteht, damit Sicherheitsteams sie nutzen können.
Was sie fanden und wie sicher sie sich sind
Die Autoren testeten ihren Roboter auf zwei Arten, um zu sehen, ob er tatsächlich funktioniert.
Zuerst bauten sie einen synthetischen Benchmark namens „Cryben“. Dies war ein fiktives Softwaresystem, das sie selbst erstellt hatten, bei dem sie genau wussten, wo jedes einzelne Schloss und jeder Schlüssel versteckt war. Es war wie eine Übungs-Schatzsuche, bei der sie die Lösung bereits kannten. Als sie Crypsy gegen diesen Test laufen ließen, fand es 75 % der verborgenen Elemente korrekt (ein F1-Score von 0,75). Es war sehr gut darin, die tatsächlichen Geheimnisse (die Goldmünzen) zu finden, übersah aber manchmal die komplexeren Arten, wie die Software die Schlösser verwendete. Wenn es jedoch darum ging, die gefundenen Probleme zu klassifizieren, war es unglaublich präzise und identifizierte 91 % der erwarteten Schwachstellen und Sicherheitslücken korrekt.
Als Nächstes nahmen sie den Scanner mit in die reale Welt. Sie scannten eine echte IT-Infrastruktur, die aus zehn bereitgestellten Diensten bestand (darunter Dinge wie GitLab, ein CI/CD-Runner und eine Datenbank). Sie scannten 57.610 Dateien in weniger als sechs Minuten. In diesem realen Chaos entdeckte der Scanner 370 kryptographische Assets. Er fand sechs spezifische Schwachstellen, die mit bekannten Sicherheitslücken (CVEs) verknüpft waren, und identifizierte 52 Elemente, die ersetzt werden müssten, um die zukünftige Bedrohung durch Quantencomputer zu überstehen.
Die Autoren sind sehr zuversichtlich bei diesen Ergebnissen, geben aber vorsichtig die Grenzen an. Sie geben zu, dass ihr Scanner derzeit am besten darin ist, Dinge in den Programmiersprachen Ruby und Go zu finden, und dass er darauf angewiesen ist, dass das „Kochbuch“ (Crypistry) auf dem neuesten Stand ist. Wenn ein Schloss auf eine Weise versteckt ist, die das Kochbuch noch nicht kennt, könnte der Scanner es übersehen. Sie stellten auch fest, dass der Scanner zwar großartig darin ist, potenzielle Probleme zu finden, einige dieser Funde jedoch eine menschliche Überprüfung benötigen, um festzustellen, ob sie tatsächlich gefährlich sind, da der Scanner nicht immer beurteilen kann, wie ein Stück Code im größeren Zusammenhang verwendet wird.
Das große Ganze
Dieses Paper behauptet nicht, das gesamte Problem der Softwaresicherheit gelöst zu haben. Stattdessen bietet es einen praktischen, strukturierten Weg, um endlich zu sehen, was in der Dunkelheit lauert. Durch die Klassifizierung der verschiedenen Arten von kryptographischen Assets und die Trennung der „Regeln“ vom „Scanner“ haben die Autoren ein System geschaffen, das wachsen und sich anpassen kann. Ihre Ergebnisse legen nahe, dass Organisationen mit diesem Ansatz endlich eine klare Sicht auf ihre kryptographische Landschaft erhalten können, was der essenzielle erste Schritt ist, bevor sie mit dem Austausch alter Schlösser gegen neue, quantensichere Modelle beginnen können. Es ist eine Karte für die Schatzsuche, und zum ersten Mal sieht die Karte so aus, als würde sie tatsächlich irgendwohin führen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.