Klarer sehen mit Quelltext-Analysen

Marc Ruef ist Buchautor und Security Consultant beim Sicherheitsunternehmen scip in Zürich. www.scip.ch

Security-Überprüfungen können aus verschiedenen Perspektiven und mit unterschiedlichen Herangehensweisen durchgeführt werden. Eine im professionellen Umfeld zunehmend als besonders wichtig verstandene Methode ist die «Source Code Analyse». Bei dieser wird der Quelltext eines Programms untersucht, bevor dieses kompiliert und ausgeführt wird.

Grundsätzlich handelt es sich hierbei um ein erweitertes Vier-Augen-Prinzip, welches innerhalb des üblichen Life-cycle einer Applikation zur Qualitätssicherung eingebracht wird: Der Auditor begutachtet aus dem Blickwinkel des Programmierers die Anwendung, um etwaige Fehler oder Unschönheiten möglichst früh aufzudecken.

Klassisches Vulnerability Scanning im Netzwerk versucht, die Fehlbarkeit eines Dienstes im laufenden Betrieb zu erkennen. Der Nachteil dabei ist die entsprechende «Blackbox»-Herangehensweise. Denn bei der externen Prüfung können keine akkuraten Aussagen über die internen Zustände des Zielobjekts gemacht werden. Ob aber durch eine vermeintlich korrupte Eingabe das interne Verhalten der Anwendung manipuliert werden konnte, lässt sich nur bestimmen, wenn die Auswirkungen davon über das Netzwerk unmittelbar sichtbar sind. Gerade bei komplexen Attacken ist dies jedoch nicht zwingend der Fall.

Die Quelltext-Analyse hingegen blickt hier auch hinter die Kulissen, weil sie den Programmfluss und die Datenverwaltung detailliert studiert. Es sind keine langwierigen und ineffizienten Fuzzing- und Bruteforce-Methoden nötig. Vielmehr lassen sich in akademischer Weise sehr genaue Aussagen über den -Aufbau und die Funktionsweise der untersuchten Anwendung machen.