Software-Schwachstellen ohne Quellcode aufspüren

Fraunhofer SIT stellt neues Werkzeug für automatisierte Software-Analyse auf der „it-sa 2019“ vor

[datensicherheit.de, 02.10.2019] Das Fraunhofer-Institut für Sichere Informationstechnologie (SIT), Aussteller auf der it-sa“ vom 8. bis 10. Oktober 2019 in Nürnberg in Halle 9 am Stand 234, geht auf die Folgen von Fehlern und Sicherheitslücken in Software ein – diese verursachten Schäden in Milliardenhöhe, könnten den Ruf eines Unternehmens ruinieren und gefährdeten im schlimmsten Fall die Sicherheit von Menschen. Deshalb hat das SIT in Darmstadt nach eigenen Angaben „VUSC – den Codescanner“ entwickelt. Dieser „Vulnerability Scanner“ soll Unternehmen und Entwicklern helfen, Schwachstellen in fremdem Code innerhalb von Minuten aufzuspüren. Im Gegensatz zu herkömmlichen Analysetools benötige „VUSC“ nicht den Quellcode der zu untersuchenden Software. Außerdem lasse sich der Codescanner im eigenen Netzwerk betreiben, so dass sensible Informationen nicht ungewollt das Unternehmen verließen.

Codescanner VUSC: Test innerhalb von Minuten durchführbar

Experten schätzten, dass die jährlichen Verluste durch Softwarefehler und Sicherheitslücken „allein in Deutschland rund 84 Milliarden Euro betragen“. Für Entwickler, Softwarehersteller und Anwender sei deshalb die Fehlerfreiheit und Sicherheit ihrer Software entscheidend. „VUSC“ soll laut SIT IT-Abteilungen helfen zu erkennen, ob die neu gekaufte Softwarelösung sicher und fehlerfrei ist, ferner Herstellern bei der Untersuchung eingekauften Codes externer Entwickler auf Fehler – und auch selbst Entwicklern bei der Überprüfung eigener Apps auf Schwachstellen. Mit dem neuen, von Softwaresicherheitsexperten des Fraunhofer SIT entwickelten Codescanner „VUSC“ sollen diese Tests „innerhalb von Minuten“ durchführbar sein.

Nutzer können mit einem Blick erkennen, ob Schwachstelle ein niedriges, mittleres oder hohes Risiko darstellt

„Die zu untersuchende Datei wird einfach per ,drag and drop‘ in den Scanner geladen“, so Dr. Steven Arzt, Projektleiter „VUSC“ und Abteilungsleiter am Fraunhofer SIT. Für den Scan-Vorgang benötige „VUSC“ keinen Quellcode – „das ist ein Alleinstellungsmerkmal unserer Entwicklung“. „VUSC“ findet laut Arzt nicht nur Fehler und Sicherheitslücken, sondern klassifiziert diese auch. So könnten Nutzer mit einem Blick erkennen, ob die gefundene Schwachstelle ein niedriges, mittleres oder hohes Risiko darstellt. „VUSC“ arbeite außerdem „on premises“, so dass sensible Daten jederzeit beim „VUSC“-Nutzer blieben und nicht an fremde Server geschickt würden.

Weitere Informationen zum Thema:

Fraunhofer SIT
VUSC – der Codescanner / Software scannen, Schwachstellen finden

datensicherheit.de, 14.08.2019
Fraunhofer SIT deckte Sicherheitslücken in VoIP-Telefonen auf

datensicherheit.de, 11.09.2018
Fraunhofer SIT zur Fälschung von Webzertifikaten

datensicherheit.de, 15.11.2012
Grundsteinlegung für Erweiterungsbau des Fraunhofer-Instituts für Sichere Informationstechnologie in Darmstadt