Jahresbericht informatik 2009 - KIT – Fakultät für Informatik

Die Institute der Fakultät und ihre Forschungsvorhaben
Wird ein möglicher illegaler Fluss angezeigt, kann mit den am Lehrstuhl entwickelten
Pfadbedingungen eine Formel generiert werden, die für den Informationsfluss notwendig
ist. Ist diese Formel lösbar, berechnet ein sog. Constraint Solver einen Satz möglicher
Eingaben für das Programm (einen sog. Zeugen), die den illegalen Fluss auslösen. Stellt
sich aber heraus, dass diese Formel keine Lösung besitzt, ist die gemeldete Verletzung nur
ein falscher Alarm und kann ignoriert werden. Dadurch können wiederum mehr realistische
Programme als sicher zertifiziert werden als durch Slicing alleine.
Kann ein Programm auf mehreren Prozessorkernen gleichzeitig rechnen, was von aktuellen
Multicoreprozessoren ermöglicht wird, gestaltet sich die Programmanalyse deutlich
komplizierter. Am Lehrstuhl wurden deswegen gezielt Analysen entwickelt, die auch die
präzise Informationsflusskontrolle von solch nebenläufigen Programmen erlauben. Neben
der eigentlichen Analyse des Programms kommt es hier auch entscheidend auf präzise
Slicingalgorithmen an.
Quis custodiet ipsos custodes?
(A. Lochbihler, D. Lohner, D. Wasserrab)
Software-Sicherheitsanalysen sind heute unverzichtbar. Aber: Quis custodiet ipsos custodes?
Soll heißen: Wer bewacht die Wächter? Die theoretischen Korrektheitsforderungen an
Sicherheitsanalysen sind seit langem bekannt, aber viele Verfahren werden ohne
Korrektheitsbeweis publiziert, etliche nur mit einem manuellen. Maschinengeprüfte
Korrektheitsbeweise gibt es nur für einige einfache Verfahren zur Software-
Sicherheitsprüfung. Um diesen Mangel zu beheben, sollen maschinengeprüfte
Korrektheitsbeweise für neue präzise Techniken (teils hier am Lehrstuhl entwickelt) für
sprachbasierte Softwaresicherheitsprüfungen, im Speziellen für die Informationsflusskontrolle
(IFC), erstellt werden. IFC verwendet die Semantik eines Programms, um illegale
Informationsflüsse zu erkennen, z.B. die Herausgabe von geheimer Information an die
Öffentlichkeit. Mittels IFC lassen sich z.B. Trojaner und Keylogger erkennen, die geheime
Daten des Systems ausspionieren und über das Internet an die Öffentlichkeit verschicken.
Zur Formalisierung der entsprechenden Algorithmen und Korrektheitsaussagen wird der
Theorembeweiser Isabelle/HOL verwendet. Für diesen Theorembeweiser existieren bereits
formale Semantiken für die Kerne von Java (inklusive Compiler und JVM) und C++. Die
Java Semantik wurde von uns um Arrays und Threads erweitert, sowohl auf Quell- als auch
auf Bytecodeebene; die Korrektheit der Semantiken wurde auch für die Erweiterungen
gezeigt. Die Verifikation des erweiterten Compilers erforderte einen neuen Beweisansatz,
der es uns nun ermöglicht, einfach Ergebnisse der Programmanalysen zwischen Quell- und
den erzeugten Bytecodeprogrammen zu übertragen.
Eine grundlegende Programmanalyse, die in der IFC Verwendung findet, ist Slicing.
Nachdem bereits ein sprachunabhängiges Framework für dynamisches und statisch intraprozedurales
Slicing plus Korrektheitsbeweis in Isabelle/HOL erstellt wurde, wurde dieses
Framework um den interprozeduralen Slicing-Algorithmus von Horwitz, Reps und Binkley
78