Static Detection of Post-Quantum Cryptographic Algorithms in Stripped Binaries for Digital Forensic Examination and Migration Assurance
Dieses Paper stellt Kestrel vor, ein Werkzeug zur statischen Analyse, das standardisierte post-quanten-kryptographische Algorithmen (ML-KEM und ML-DSA) in gestrippten und optimierten Binärdateien zuverlässig erkennt, indem es einzigartige Konstanten-Tabellen der Zahlentransform-Operation identifiziert und dadurch eine effektive forensische Untersuchung, Lieferketteninspektion sowie Migrationssicherung ermöglicht, selbst wenn traditionelle Detektionssignale verschleiert sind.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der Welt der digitalen Sicherheit findet eine stille Revolution statt. Seit Jahrzehnten verlassen sich die Schlösser, die unsere sensibelsten Daten schützen – Bankunterlagen, Staatsgeheimnisse, private Nachrichten –, auf mathematische Rätsel, die leicht zu erstellen, aber ohne einen spezifischen Schlüssel nahezu unmöglich zu lösen sind. Diese Rätsel, bekannt als Public-Key-Kryptographie, bilden das Fundament des Vertrauens im Internet. Wissenschaftler sagen jedoch schon lange voraus, dass ein neuer Typ von Computer, der die seltsamen Gesetze der Quantenphysik nutzt, eines Tages leistungsstark genug sein wird, um diese Schlösser sofort zu knacken. Wenn das passiert, werden die alten Schlösser nutzlos sein. Um vorzubereken, entwerfen Experten neue Schlösser, die auf einer anderen Mathematik basieren, die selbst ein Quantencomputer nicht ohne Weiteres knacken kann. Diese neuen Systeme werden Post-Quanten-Kryptographie genannt. Die Herausforderung besteht nun nicht nur darin, diese neuen Schlösser zu bauen, sondern sie auch zu finden. Während Organisationen eilen, ihre alten Systeme zu ersetzen, müssen sie genau wissen, wo die neuen innerhalb der komplexen Software, die ihre Welt steuert, verborgen sind. Aber es gibt ein Problem: Sobald eine Software zu einem fertigen Programm für den Gebrauch kompiliert wurde, werden die Bezeichnungen und Namen, die uns normalerweise sagen, was darin enthalten ist, oft entfernt, um das Programm kleiner und schneller zu machen. Ohne diese Namen ist die Suche nach einem spezifischen neuen Schloss in einem Haufen Code so, als versuche man, ein bestimmtes Sandkorn an einem Strand zu finden, ohne zu wissen, wie das Sandkorn aussieht.
Ein Forscher namens Muhammad Shaheer Bin Junaid hat einen neuen Weg entwickelt, um dieses Problem zu lösen. Er hat ein Werkzeug namens Kestrel entwickelt, das in der Lage ist, diese neuen, quantensicheren Schlösser in gestrippter Software zu identifizieren, selbst wenn alle üblichen Hinweise entfernt wurden. Die Methode beruht auf einer einfachen, aber kraftvollen Beobachtung: Während die Namen des Codes gelöscht werden können, können die Rohzahlen, die der Code benötigt, um zu funktionieren, nicht gelöscht werden. Die neuen kryptographischen Systeme, insbesondere jene, die auf einer Struktur namens Lattice (Gitter) basieren, müssen einen festen Satz vorberechneter Zahlen verwenden, um ihre Berechnungen durchzuführen. Diese Zahlen wirken wie ein permanenter Fingerabdruck. Egal wie sehr die Software optimiert, komprimiert oder umbenannt wird, diese spezifischen Zahlen müssen in der Datei verbleiben, damit das Programm funktioniert. Wenn die Zahlen fehlen, wird das Programm einfach nicht funktionieren. Kestrel scannt die Rohdaten eines Programms und sucht nach diesen spezifischen Zahlenmustern. Es kümmert sich nicht um die Namen der Funktionen oder der Bibliotheken, die das Programm verwendet; es interessiert sich nur für das Vorhandensein dieser essenziellen mathematischen Konstanten.
Der Forscher testete diesen Ansatz an einer Vielzahl von Software, einschließlich Programmen, die mit unterschiedlichen Werkzeugen erstellt und jeglicher Art von Standardverarbeitung unterzogen wurden, die sie schwerer analysierbar macht. Er fand heraus, dass das Werkzeug perfekt funktionierte. In Tests, die 128 verschiedene Versionen der Software beinhalteten, identifizierte Kestrel die neuen kryptographischen Algorithmen in jedem einzelnen Fall, selbst wenn die Programme ihrer Namen beraubt und auf komplexe Weise miteinander verknüpft worden waren. Entscheidend war, dass das Werkzeug keine Fehler machte. Als der Forscher über 6.000 reale Programme eines Standard-Computersystems scannte, gab es keine Fehlalarme. Es verwechselte gewöhnliche Software nicht mit den neuen kryptographischen Systemen. Dieses Maß an Genauigkeit ist für die digitale Forensik unerlässlich, bei der ein Experte absolut sicher sein muss, was er findet, bevor er es in einem rechtlichen Rahmen präsentiert.
Die vielleicht überraschendste Entdeckung ergab sich, als das Werkzeug auf ein lebendes Computersystem angewendet wurde. Der Scan enthüllte zwölf verschiedene Programme, die diese neuen quantensicheren Schlösser enthielten, obwohl niemand wusste, dass sie dort waren. Dazu gehörten die Software, die Internetverbindungen für sichere Logins verwaltet, und die Systeme, die containerisierte Anwendungen ausführen. In vielen Fällen war die neue Kryptographie automatisch durch die Programmiersprachen, die zum Bau dieser Programme verwendet wurden, in diese Programme gelangt, ohne dass die Entwickler dieser Programme es überhaupt bemerkt hatten. Dieser Befund verdeutlicht eine signifikante Lücke in der aktuellen Sicherheitspraxis: Organisationen glauben vielleicht, dass sie alte, verwundbare Systeme verwenden, oder sie glauben, sie hätten bereits ein Upgrade durchgeführt, aber ohne eine Möglichkeit, den tatsächlichen Code zu inspizieren, können sie sich nicht sicher sein. Kestrel bietet diese Gewissheit. Es kann zwischen einem Programm, das tatsächlich die neuen Schlösser verwendet, und einem unterscheiden, das lediglich behauptet, dies zu tun. In einem Test behauptete ein Programm, über quantensicheren Schutz zu verfügen, doch das Werkzeug fand keinen Beweis dafür und identifizierte die Behauptung korrekt als falsch.
Das Werkzeug bewies auch seinen Wert in einem forensischen Szenario, indem es die Wiederherstellung von Daten aus einer beschädigten oder gelöschten Datei simulierte. Wenn eine Datei gelöscht wird, markiert das Betriebssystem den Platz oft als verfügbar für neue Daten, aber die alten Daten verbleiben auf der Festplatte, bis sie überschrieben werden. Standardmäßige Wiederherstellungswerkzeuge versuchen, die Dateistruktur wieder aufzubauen, was oft fehlschlägt, wenn der Datei-Header beschädigt ist. Da Kestrel jedoch nach den spezifischen Zahlen innerhalb der Daten sucht und nicht nach der Dateistruktur, war es in der Lage, den kryptographischen Fingerabdruck selbst im rohen, unorganisierten Bereich des Disk-Images zu finden. Es identifizierte erfolgreich die Anwesenheit des neuen Algorithmus in einer Datei, die andere Werkzeuge nicht wiederherstellen konnten. Diese Fähigkeit bedeutet, dass Ermittler die Verwendung spezifischer kryptographischer Methoden bestätigen können, selbst wenn die ursprünglichen Dateien weg oder beschädigt sind.
Die Forschung klärte auch auf, was das Werkzeug nicht kann. Es ist darauf ausgelegt, die spezifischen Arten neuer Schlösser zu finden, die auf diesen festen Zahlentabellen basieren. Es kann keine anderen Arten neuer Schlösser finden, die diese Methode nicht nutzen, noch kann es ein Programm finden, das diese Zahlen bei jedem Durchlauf neu berechnet („on-the-fly“), anstatt sie zu speichern. Der Forscher merkte jedoch an, dass derzeit keine bekannte Software diese „On-the-fly“-Methode verwendet, da sie ineffizient und unnötig ist. Das Werkzeug ist für die Realität gebaut, wie Software heute tatsächlich hergestellt und verteilt wird. Indem es sich auf die unveränderlichen Zahlen konzentriert, die der Code zum Funktionieren benötigt, bietet Kestrel einen zuverlässigen Weg, um die Anwesenheit dieser neuen Sicherheitssysteme zu verifizieren. Es macht das Unsichtbare sichtbar und ermöglicht es Auditoren und Ermittlern, genau zu sehen, was sich in einem Programm befindet, wodurch sichergestellt wird, dass der Übergang zu einer quantensicheren Zukunft auf Fakten und nicht auf Annahmen basiert.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.