Detecting Vulnerabilities in Encrypted Software Code while Ensuring Code Privacy
Dit artikel introduceert CoCoA, een nieuw hulpmiddel dat statische analyse combineert met zoekbare symmetrische encryptie om kwetsbaarheden in software te detecteren in versleutelde broncode terwijl de privacy van de code wordt gewaarborgd, met een precisie van 93% en slechts een prestatieverlies van 42,7% ten opzichte van niet-vertrouwelijke baselines.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je voor dat je een geheim recept hebt voor 's werelds beste taart. Je wilt een beroemde foodcriticus inhuren om het te proeven en te vertellen of er gebreken zijn (zoals te veel zout of een verbrande korst). Je bent echter doodsbang dat als je hen het receptenboek geeft, ze het kunnen stelen, fotokopiëren of verkopen aan je concurrenten.
Normaal gesproken heb je twee slechte opties:
- Geef hen het boek: Ze kunnen de gebreken vinden, maar ze kunnen je recept stelen.
- Zet het boek in een kluis: Ze kunnen het niet stelen, maar ze kunnen het ook niet lezen om de gebreken te vinden.
Dit artikel introduceert een magische oplossing genaamd COCOA die dit dilemma oplost. Het stelt de criticus in staat om de gebreken in je recept te vinden zonder ooit de daadwerkelijke woorden van het recept te zien.
Hier is hoe het werkt, opgesplitst in eenvoudige stappen:
1. Het Probleem: Het "Glazen Huis"-dilemma
Softwareontwikkelaars schrijven code (het recept) voor websites. Ze hebben experts nodig om deze code te controleren op beveiligingsgaten (kwetsbaarheden) voordat hackers ze vinden. Maar om de code te controleren, moeten experts meestal de ruwe tekst zien. Als ze het zien, kunnen ze de intellectuele eigendom van de ontwikkelaar stelen. Als ze het niet zien, kunnen ze hun werk niet doen.
2. De Oplossing: De "Versleutelde Kaart"
De auteurs hebben een systeem genaamd COCOA (Confidential Code Analysis) ontwikkeld. In plaats van de ruwe code naar de expert te sturen, voert de ontwikkelaar eerst een speciale transformatie uit.
Denk aan de code niet als een verhaal, maar als een wegkaart.
- De Ruwe Code: De daadwerkelijke zinnen en woorden.
- De Kaart: Een diagram dat laat zien hoe de wegen (data) met elkaar verbonden zijn en waar de verkeerslichten (besturingsflow) zich bevinden.
COCOA neemt de ruwe code en verandert deze in deze "Kaart", maar vervolgens verward het de kaart met een geavanceerd slot (encryptie).
- Het vervangt specifieke namen (zoals "Gebruikersinvoer" of "Database") door generieke labels zoals "Weg A" of "Verkeerslicht B".
- Het creëert een speciale index (zoals een bibliotheekcatalogus) die ook verward is.
3. De Magische Truc: Zoeken zonder Lezen
Nu stuurt de ontwikkelaar deze verwarde, versleutelde kaart naar de expert (de analist). De expert wil een specifiek gevaar vinden, zoals een "Bruginstorting" (een beveiligingskwetsbaarheid).
In een normale wereld zou de expert de hele kaart moeten lezen om de brug te vinden. Maar met COCOA gebruikt de expert een magische sleutel die door de ontwikkelaar wordt verstrekt.
- De ontwikkelaar zegt: "Ik autoriseer je om te zoeken naar 'Bruginstortingen'."
- De expert gebruikt deze sleutel om de verwarde kaart te bevragen.
- Het systeem springt direct naar de relevante delen van de kaart en zegt: "Ja, hier is een bruginstorting", zonder ooit te onthullen waar de brug van gemaakt is, wie hem heeft gebouwd of hoe de rest van de kaart eruitziet.
De expert leert alleen dat er een gebrek bestaat en waar het zit. Ze leren niets over de daadwerkelijke code, de bedrijfslogica of de geheimen van de ontwikkelaar.
4. Hoe Het Werkt (De "Invers Index")
Technisch gezien maakt het artikel gebruik van een methode genaamd Searchable Symmetric Encryption (SSE).
- Stel je een bibliotheek voor waar elk boek in een kluis zit.
- Normaal gesproken kun je niet zoeken naar een woord in de boeken omdat ze op slot zitten.
- COCOA creëert een speciale "index" waarin de locaties van de woorden versleuteld zijn.
- Wanneer de expert vraagt: "Waar is het woord 'Gevaar'?", controleert het systeem de versleutelde index en wijst het naar de specifieke kluis die dat gevaar bevat, zonder de andere kluizen te openen of de inhoud van het boek te onthullen.
5. De Resultaten: Snel en Accuraat
De onderzoekers hebben deze tool (COCOA) getest op echte PHP-webapplicaties (een zeer veelvoorkomend type websitecode).
- Accuraatheid: Het vond kwetsbaarheden net zo goed als standaardtools die de code wel lezen (ongeveer 93% accuraatheid).
- Snelheid: Het was slechts iets langzamer dan de standaardtools. Het kostte ongeveer 209 milliseconden om 4.000 regels code te verwerken. Dat is als het toevoegen van een kleine vertraging aan een proces dat normaal gesproken in een oogwenk plaatsvindt.
- Privacy: De code bleef volledig verborgen. De "verwarde" versie nam daadwerkelijk minder ruimte in op de harde schijf dan de originele code, omdat het systeem onnodige opmerkingen en details verwijderde.
6. Waarom Dit Belangrijk Is
Dit artikel definieert een nieuw veld genaamd Confidential Code Analysis. Het bewijst dat je niet hoeft te kiezen tussen Beveiliging (je code beschermen) en Kwaliteit (bugs vinden).
De Analogie Samenvatting:
- Oude Manier: Je geeft je geheim recept aan een criticus. Ze corrigeren het zout, maar ze onthouden ook het recept en verkopen het.
- COCOA Manier: Je geeft de criticus een vergrendelde, verwarde kaart van het recept. Ze gebruiken een speciale sleutel om de plek met "te veel zout" te vinden en vertellen je precies waar het zit. Ze zien nooit de ingrediënten, de naam van de chef of de rest van het recept.
Dit stelt bedrijven in staat beveiligingscontroles uit te besteden aan derden zonder angst voor diefstal, en stelt ontwikkelaars in staat hun code privé te houden terwijl ze toch garanderen dat het veilig is voor het publiek.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.