Gesamt-Schlussbericht des Verbundprojektes Deutsch - CC Gmbh

Softwaresicherheit zurückzuführen sind. Zudem treten viele Schwachstellen wiederholt auf.
Das SecFlow-Werkzeug, in dem spezielles Wissen über Softwaresicherheit verankert ist,
kann die mühsame und fehleranfällige Arbeit der programminternen Kontrolle und Analyse
übernehmen. Damit ist es möglich, bereits bei der Entwicklung von Software potentielle
sicherheitskritische Schwachstellen des im Entstehen befindlichen Systems vorab zu
identifizieren und durch entsprechende Gegenmaßnahmen zu beseitigen. Der wirtschaftliche
Erfolg liegt deshalb vor allem auch bei den Benutzern von Web-Anwendungen, die höhere
Qualität und Sicherheit erhalten.
Neben den noch bestehenden Analysegrenzen (z. B. bei der Behandlung von Reflection
oder Arrays) ist vorläufig der Einsatz des SecFlow-Frameworks noch durch ein hohes Maß
an manuellen Tätigkeiten, notwendiger spezieller Kenntnis der zu analysierenden
Anwendung selbst sowie der von ihr verwendeten externen Systeme als auch durch die
Analysegeschwindigkeit beschränkt. Ein effektiver Einsatz des Werkzeugs ist derzeit für
kleine bzw. mittelgroße Anwendungen möglich.
Trotzdem wird das Werkzeug einen Beitrag leisten, um die entwickelten wissenschaftlichen
und technischen Konzepte weiter in der IT-Welt zu verbreiten und damit die Herstellung von
sicherer Software zu fördern. Die Verfügbarmachung des Werkzeug-Frameworks als
Open Source sorgt für eine weite Streuung des im Tool enthaltenen Know-hows. Es
gestattet unabhängigen Dritten die Erstellung eigener umgebungsspezifischer
Weiterentwicklungen, was längerfristig zur Hebung des allgemeinen Qualitätsstandards der
deutschen Software-Branche auf dem so wichtigen Feld der IT-Sicherheit beiträgt.
2.2.2 Verwertbarkeit im Sinne des fortgeschriebenen Verwertungsplans
Unabhängig von einer kommerziellen Verwertung der konkret entwickelten SecFlow-
Komponenten ist die im Projekt erworbene Kompetenz im Bereich der fortschrittlichen
Datenflussanalysen bzw. im Bereich der IT-Sicherheit eine wichtige Bereicherung für das
Produkt- und Dienstleistungsportfolio aller beteiligten Technologie-, Anwendungs- und
Forschungspartner. Alle Partner gehen davon aus, die erworbene Kompetenz in
Kundenprojekten weiter erfolgreich einsetzen zu können.
Zudem planen insbesondere die Partner ICT, SHE und CC das entstandene Werkzeug
weiter zu nutzen. So zielt z. B. ICT auf eine Überprüfung der gesamten Software ICContent
durch das SecFlow-Werkzeug, um so einen Sicherheitsvorsprung gegenüber vergleichbaren
Anwendungen zu erlangen. Im Rahmen des Projektes konnten bereits verschiedene Module
von ICContent auf potentielle Schwachstellen hin untersucht werden. Bei diesen Analysen
konnten erfolgreich Schwachstellen lokalisiert, eingegrenzt und behoben werden. Damit
konnte das SecFlow-Werkzeug seinen direkten Nutzen im Rahmen der Software-
Entwicklung bereits beweisen. Diese Arbeiten sollen möglichst im Jahr 2009 abgeschlossen
werden.
Trotz des zusätzlichen Aufwands für die Erweiterung und Verbesserung des Werkzeugs
nach Projektende wird CC die Ergebnisse des Projektes in die Erweiterung der existierenden
CC-Produktpalette einfließen lassen und damit auch den Kompetenzbereich bei Analysewerkzeugen
in Bezug auf das Qualitätsmerkmal Sicherheit und dabei schwerpunktmäßig auf
die Sicherheit von Quellcode ausdehnen. Angestrebt wird dabei auch eine Kopplung des
SecFlow-Werkzeugs bzw. seiner Ausgaben mit bereits existierenden und am Markt
etablierten CC-Produkten wie z. B. mit der Software zur statischen Programmanalyse
CC AUDITOR. Dies bietet nicht nur bestehenden Kunden einen zusätzlichen Nutzwert der
Produkte, sondern stellt gleichzeitig einen zusätzlichen Anreiz für Interessenten zum Einsatz
eines CC-Werkzeuges dar. Insbesondere im Hinblick auf die wachsende Konkurrenz im
Open-Source-Bereich geht CC davon aus, dass die erfolgreiche Anbindung des SecFlow-
Werkzeuges an die CC-Produkte die Erhaltung der Wettbewerbsfähigkeit und die Sicherung
der Marktposition der Produkte bedeuten.
Zudem plant CC, einzelne Komponenten des SecFlow-Frameworks in anderen Zusammenhängen
weiter zu nutzen. So wird z. B. angestrebt unter der Verwendung von Methoden und
Technologien des CIL2QUAD-Compilers, Mechanismen zu entwickeln, die die Konvertierung
Datei
SecFlow_Gesamtschlussbericht_V10.odt
Version
1.0
Datum
2009-02-02
Bearbeiter/in
Dana Richter
Seite
20 von 27