Abo
  • Services:
Anzeige
Google will Open-Source-Projekten helfen, ihre Software mittels Fuzzing sicherer zu machen.
Google will Open-Source-Projekten helfen, ihre Software mittels Fuzzing sicherer zu machen. (Bild: Giuseppe Milo, Wikimedia Commons/CC-BY 2.0)

OSS-Fuzz: Google will Open-Source-Software mit Fuzzing sicherer machen

Google will Open-Source-Projekten helfen, ihre Software mittels Fuzzing sicherer zu machen.
Google will Open-Source-Projekten helfen, ihre Software mittels Fuzzing sicherer zu machen. (Bild: Giuseppe Milo, Wikimedia Commons/CC-BY 2.0)

Google startet eine Initiative, um wichtige Open-Source-Software mittels Fuzzing zu testen. Dabei werden Programme mit fehlerhaften Eingaben getestet.

Fuzzing ist eines der mächtigsten Tools, um Sicherheitslücken in Software zu identifizieren. Google möchte jetzt wichtigen Open-Source-Projekten dabei helfen, Lücken in ihrer Software zu identifizieren. Projekte können sich bewerben und werden dann dauerhaft auf Google-eigenen Servern getestet.

Anzeige

Große Fortschritte bei Fuzzing-Tools

Beim Fuzzing nutzt man fehlerhafte Eingabedaten und prüft, ob die Software beim Verarbeiten der Daten abstürzt. In den letzten Jahren hat es enorme Fortschritte bei der Entwicklung von Fuzzing-Software gegeben. Tools wie American Fuzzy Lop oder LibFuzzer nutzen dabei sogenanntes Coverage-basiertes Fuzzing. Dabei beobachtet das Fuzzing-Tool, welche Codepfade in einer Datei durch bestimmte Eingaben genutzt werden und passt die Fuzzing-Strategie entsprechend an.

Googles Initiative testet Software zunächst mit LibFuzzer. Später sollen andere Fuzzing-Tools dazukommen. Außerdem werden die Sanitizer-Tools von LLVM genutzt. Dabei handelt es sich um Compiler-Flags, die bestimmte Bug-Typen in C-Code finden, die normalerweise nicht zum Absturz einer Software führen.

Ein Beispiel für eine Software, die bereits von Googles OSS-Fuzz getestet wird, ist FreeType. Die Bibliothek zur Verarbeitung von Schriftarten wird von vielen Browsern und unzähligen anderen Applikationen genutzt. FreeType ist ein sehr typischer Kandidat für eine Software, die von Fuzzing stark profitieren kann. Es unterstützt sehr viele komplexe Dateiformate, beim Parsen der Font-Dateien kann viel schiefgehen.

Anhand von FreeType kann man sich ein Bild davon machen, wie Googles neues Projekt funktioniert: Findet der Fuzzer einen Bug, wird automatisch ein Bugreport in einem Google-eigenen Bugtracker angelegt und der Maintainer der Software informiert. Der Bug ist zunächst nur für den Maintainer einsehbar. Wenn der Bug gefixt ist oder wenn 90 Tage vorbei sind wird der Bugreport automatisch öffentlich.

Bewerben für OSS-Fuzz können sich Projekte, die eine große Nutzerbasis haben und wichtig für die IT-Infrastruktur sind. Um teilzunehmen müssen die Projekte dann einige Konfigurationen und Test-Code einreichen, der dann von Googles ClusterFuzz-Framework verarbeitet wird.

Für Software, die bereits relativ robust ist, ist Googles Fuzzing-Framework eine attraktive Option, um die Sicherheit weiter zu verbessern. Allerdings ist es in vielen Fällen überhaupt nicht nötig, mit viel Rechenpower Fuzzing zu betreiben. Bei vielen Softwareprojekten kann man mittels Fuzzing bereits nach Minuten Fehler finden. Dafür benötigt man keine rechenstarken Google-Server.

Der Autor dieses Texts betreibt das von der Core Infrastructure Initiative unterstützte Fuzzing Project, das ein ähnliches Ziel verfolgt. Er hat in den vergangenen Jahren hunderte Bugs mittels Fuzzing gefunden und an die entsprechenden Projekte gemeldet.


eye home zur Startseite
My1 02. Dez 2016

ist eine perfekte test suite für software die automatisch auf SQL injection und sonst...

Themenstart

Kommentieren



Anzeige

Stellenmarkt
  1. BRUNATA Wärmemesser GmbH & Co. KG, München
  2. Arbeits- und Servicestelle für Internationale Studienbewerbungen (uni-assist) e.V., Berlin
  3. DR. JOHANNES HEIDENHAIN GmbH, Traunreut (Raum Rosenheim)
  4. Daimler AG, Stuttgart


Anzeige
Top-Angebote
  1. 189,00€ + 4,99€ Versand (Vergleichspreis 224€)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mit digitalen Workflows Geschäftsprozesse agiler machen
  2. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes
  3. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Delid Die Mate 2

    Prozessoren köpfen leichter gemacht

  2. Rückzieher

    Assange will nun doch nicht in die USA

  3. Oracle

    Critical-Patch-Update schließt 270 Sicherheitslücken

  4. Android 7.0

    Samsung verteilt Nougat-Update für S7-Modelle

  5. Forcepoint

    Carbanak nutzt Google-Dienste für Malware-Hosting

  6. Fabric

    Google kauft Twitters App-Werkzeuge mit Milliarden Nutzern

  7. D-Link

    Büro-Switch mit PoE-Passthrough - aber wenig Anschlüssen

  8. Flash und Reader

    Adobe liefert XSS-Lücke als Sicherheitsupdate

  9. GW4 und Mont-Blanc-Projekt

    In Europa entstehen zwei ARM-Supercomputer

  10. Kabelnetz

    Vodafone stellt Bayern auf 1 GBit/s um



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Glasfaser: Nun hängt die Kabel doch endlich auf!
Glasfaser
Nun hängt die Kabel doch endlich auf!
  1. Fake News Für Facebook wird es hässlich
  2. Nach Angriff auf Telekom Mit dem Strafrecht Router ins Terrorcamp schicken oder so
  3. Soziales Netzwerk Facebook wird auch Instagram kaputt machen

Western Digital Pidrive im Test: Festplatte am Raspberry Pi leicht gemacht
Western Digital Pidrive im Test
Festplatte am Raspberry Pi leicht gemacht
  1. Sopine A64 Weiterer Bastelrechner im Speicherriegel-Format erscheint
  2. Bootcode Freie Firmware für Raspberry Pi startet Linux-Kernel
  3. Raspberry Pi Compute Module 3 ist verfügbar

Autonomes Fahren: Wenn die Strecke dem Zug ein Telegramm schickt
Autonomes Fahren
Wenn die Strecke dem Zug ein Telegramm schickt
  1. Fahrgastverband "WLAN im Zug funktioniert ordentlich"
  2. Deutsche Bahn WLAN im ICE wird kostenlos
  3. Mobilfunk Telekom baut LTE an Regionalbahnstrecken aus

  1. Re: Mozilla und das offene Web: Erstmal EME...

    Vollbluthonk | 20:10

  2. From hero to zero

    WoainiLustig | 20:09

  3. Re: Wie ist das bei AMD?

    tg-- | 20:08

  4. Re: Bitte nicht mit Sandy Bridge CPUs verwenden !!

    ms (Golem.de) | 20:06

  5. Re: "Sentence Commuted" IST NICHT GLEICH PARDON

    VI | 20:05


  1. 18:28

  2. 18:07

  3. 17:51

  4. 16:55

  5. 16:19

  6. 15:57

  7. 15:31

  8. 15:21


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel