Gesamt-Schlussbericht des Verbundprojektes Deutsch - CC Gmbh

[Livshits 2006] zum Beispiel sogenannte Derivation Descriptors, mit deren Hilfe die
Datenfluss-Effekte von Methodenzugriffen charakterisiert werden. Eine konsequente
Weiterentwicklung dieser Idee ist die in SecFlow entwickelte Sprache FLOW, die solche
Spezifikationsmöglichkeiten in benutzerfreundlicherem Format ermöglicht.
Die Arbeiten von Lam und Whaley [Whaley&Lam 2004] hatten ebenfalls großen Einfluss auf
das SecFlow-Vorhaben. Die Bedeutung des Einsatzes einer deduktiven Datenbank mit der
Formulierung von Analysestrategien über Datalog-Regeln wird auch durch die Fortführung
der in Joeq verwendeten Ansätze durch Whaley unterstrichen [Whaley 2007].
In Weiterführung dieser Ansätze wird in [Lam et al. 2008] vorgeschlagen, die statische mit
der dynamischen Analyse zu verbinden. Dies stellt einen viel versprechenden Ansatz dar.
Insbesondere für eine Erweiterung des SecFlow-Werkzeugs um die Analyse von
Programmiersprachen, die für die Herstellung dynamischer Webseiten und Webanwendungen
verwendet werden, ist ein Ansatz erforderlich, der die statische Datenflussanalyse
mit anderen dynamischen Analyseverfahren kombiniert. Soll zur Laufzeit generierter
Code auf seine Vertrauenswürdigkeit geprüft werden, muss dieser zuerst mit der bereits
vorhandenen statischen Analyse ausfindig gemacht werden. Anschließend wird der dabei
extrahierte Codeausschnitt für die erforderlichen dynamischen Tests vorbereitet und kann
dann analysiert werden.
Weiterhin wird durch führende Literatur des Compilerbaus [Knuth 2008, Aho et al. 2006]
bestätigt, dass mit BDD auf eine Schlüsseltechnologie der IT gesetzt wurde. Durch die
Einführung leistungsstarker moderner PCs rückt ein Einsatz von BDD auch für komplexe
Aufgaben auf kleinen Systemen immer näher.
Hinsichtlich des Wettbewerbs zu SecFlow auf Produktebene sind seit Projektbeginn einige
Werkzeuge bekannt geworden, die sich mit der Analyse von Quellcode verschiedener
Programmiersprachen beschäftigen. Es sind jedoch keine grundlegenden neuen
Entwicklungen darunter, die bereits Lösungen für die mit SecFlow verbundenen
Zielsetzungen bieten. Der innovative Gehalt des Vorhabens hat sich damit bestätigt.
Die existierenden Werkzeuge sind zumeist sprachabhängig, zielen auf andere, nicht sicherheitsbezogene
Schwachstellen im Quelltext oder verwenden Methoden zur Quelltextanalyse,
die sich von den im SecFlow-Projekt verfolgten Lösungen zur statischen Datenflussanalyse
unterscheiden. Lediglich Fortify [Fortify 2008] bietet mit der Source Code Analysis ein
Werkzeug, das die internen Datenströme überwacht und analysiert. Sollte ein Datenstrom
ungefiltert zu einem sicherheitsrelevanten Objekt gehen, wird eine Warnmeldung
ausgegeben. Hiermit erfüllt Fortify die Anforderungen von SecFlow und ist als einziges der
betrachteten Codeanalyse-Werkzeuge mit der gewünschten Endfunktionalität von SecFlow
vergleichbar. Allerdings sind keine genauen Benchmark-Resultate zu Fortify veröffentlicht.
Die wenigen verfügbaren Informationen deuten jedoch darauf hin, dass die Anwendung
erheblich durch falsch-positive Befunde beeinträchtigt wird. Nach heutigem Stand der
Bewertung ist davon auszugehen, dass sich SecFlow durch eine höhere Analysegenauigkeit
auszeichnen wird. Nicht zuletzt wird sich aber SecFlow gegenüber dem hohen Kaufpreis von
Fortify behaupten können.
2.4 Erfolgte und geplante Veröffentlichungen des Ergebnisses
Die wissenschaftlich-technischen Ergebnisse des Verbundprojektes wurden unter der
Plattform www.sourceforge.net veröffentlicht. Dazu wurde ein entsprechendes Projekt
eingerichtet und das SecFlow-Werkzeug zum Download für Dritte kostenlos bereitgestellt.
Wichtige Informationen zum SecFlow-Projekt als auch SecFlow-Werkzeug sind zusätzlich
auf der projekteigenen Internetseite www.secflow.de zusammengestellt.
Neben den periodischen Zwischenberichten zum Stand des Vorhabens an den Projektträger
sind seitens der Projektpartner während des Vorhabens folgende Publikationen und
Dokumentationen entstanden:
Datei
SecFlow_Gesamtschlussbericht_V10.odt
Version
1.0
Datum
2009-02-02
Bearbeiter/in
Dana Richter
Seite
22 von 27