Abo
  • Services:

Crema: Eine Programmiersprache ohne Turing-Vollständigkeit

Um Sicherheitsprobleme zu vermeiden, versucht die Programmiersprache Crema, viele problematische Dinge nicht zuzulassen. Crema verzichtet dabei bewusst auf die sogenannte Turing-Vollständigkeit, um die Analyse des Codes zu erleichtern.

Artikel veröffentlicht am , Hanno Böck
Die Programmiersprache Crema verzichtet bewusst auf die sogenannte Turing-Vollständigkeit.
Die Programmiersprache Crema verzichtet bewusst auf die sogenannte Turing-Vollständigkeit. (Bild: Screenshot Golem.de)

Crema ist eine Programmiersprache, die viele Dinge nicht kann, die in anderen Programmiersprachen selbstverständlich sind. Was zunächst nicht gerade attraktiv klingt, hat seine Gründe: Crema verzichtet auf bestimmte Features, um dabei möglichst sicher zu sein und die formale Analyse des Codes zu erleichtern. Auf der Konferenz Bsides Las Vegas stellte der IT-Sicherheitsforscher Jacob Torrey Crema vor.

Stellenmarkt
  1. Diamant Software GmbH & Co. KG, Bielefeld
  2. HUK-COBURG Versicherungsgruppe, Coburg

Bei Crema handelt es sich um eine Programmiersprache, die nicht Turing-vollständig ist. Die Turing-Vollständigkeit ist ein Konzept aus der theoretischen Informatik und bezieht sich auf das Modell einer Turingmaschine. Praktisch alle gewöhnlichen Programmiersprachen sind Turing-vollständig. Das bedeutet, dass sich - mit der Einschränkung von Speicherverbrauch und Geschwindigkeit - diese Programmiersprachen alle gegenseitig emulieren können.

Halteproblem macht formale Analyse unmöglich

Das Problem: Ein Programm in einer Turing-vollständigen Sprache formal zu analysieren, ist in vielen Fällen unmöglich. Dafür sorgt das sogenannte Halteproblem. Es ist eines der fundamentalen Grundprinzipien der theoretischen Informatik. Demnach lässt sich durch ein anderes Programm nicht zuverlässig entscheiden, ob ein in einer Turing-vollständigen Sprache geschriebenes Programm jemals enden wird. Formale Verifikationssysteme - Torrey erwähnt etwa das Tool KLEE - sind damit grundsätzlich nicht in der Lage, ein in einer Turing-vollständigen Sprache geschriebenes Programm komplett auf bestimmte Fehler zu prüfen.

Konkret bedeutet das, dass in der Programmiersprache Crema endlos laufende Schleifen oder unbeschränkte Rekursionen nicht möglich sind. Crema ist damit für bestimmte Anwendungsfälle nicht geeignet, beispielsweise für Serverdienste, die dauerhaft laufen und auf Verbindungen warten. Auch für Programme mit Benutzerinterface ist Crema generell nicht geeignet. Gedacht ist die Programmiersprache vor allem zur Entwicklung von Parsern für Protokolle und Dateiformate. Gerade hier finden sich meist auch sehr viele Sicherheitslücken - mit fehlerhaften Eingabedaten können Angreifer häufig das Verhalten eines Programms unerwünscht kontrollieren.

Modell der Walther-Rekursion

Crema basiert dabei auf einem theoretischen Modell, in dem sich das Programm immer in einem bestimmten Zustand befindet, aber niemals zu einem früheren Zustand zurückkehren kann. Schleifen sind zwar möglich, sie werden aber - zumindest im Modell - in Abhängigkeit der Eingabedaten als separate Codepfade modelliert. Crema folgt dabei einem Konzept namens Walther-Rekursion, ein Modell, das der Darmstädter Informatik-Professor Christoph Walther in den frühen 90ern an der Technischen Universität Darmstadt entwickelt hat.

Crema ist nicht der erste Versuch, eine Programmiersprache ohne Turing-Vollständigkeit zu implementieren. Doch laut Torrey waren die meisten derartigen Versuche bisher äußerst kompliziert zu nutzen und daher für Programmierer unattraktiv. Crema hat Ähnlichkeit mit C und soll möglichst einfach nutzbar sein. Codebeispiele findet man im Wiki von Crema.

Quellcode unter freier Lizenz

Ein wissenschaftliches Hintergrundpaper zu Crema hat Torrey zusammen mit Mark Bridgman im Mai auf dem Langsec-Workshop der IEEE veröffentlicht. Crema nutzt das LLVM-Compiler-Framework und ist selbst in C++ geschrieben. Der Quellcode steht als freie Software unter der MIT-Lizenz auf Github zur Verfügung.



Anzeige
Hardware-Angebote
  1. (Neuware für kurze Zeit zum Sonderpreis bei Mindfactory)
  2. täglich neue Deals bei Alternate.de

irata 05. Aug 2015

Soweit schon richtig. Nur Planeten zur Explosion bringen kann man damit nicht. Dafür...

hw75 05. Aug 2015

Der gravierende Unterschied besteht darin, dass nur for-Schleifen möglich sind, aber...

hw75 05. Aug 2015

Der Vorteil ist doch klar beschrieben: man kann ein solches Programm dann vollständig...


Folgen Sie uns
       


Conan Exiles - Livestream

Im Survival-MMO Conan Exiles darf ein barbarischer Golem(.de-Redakteur) nicht fehlen. Im Livestream schaffen wir es mit tatkräftiger Unterstützung unserer Community (Danke!) bis in die neue Region der Sümpfe.

Conan Exiles - Livestream Video aufrufen
EU-Urheberrechtsreform: Wie die Affen auf der Schreibmaschine
EU-Urheberrechtsreform
Wie die Affen auf der Schreibmaschine

Nahezu wöchentlich liegen inzwischen neue Vorschläge zum europäischen Leistungsschutzrecht und zu Uploadfiltern auf dem Tisch. Sie sind dilettantische Versuche, schlechte Konzepte irgendwie in Gesetzesform zu gießen.
Ein IMHO von Friedhelm Greis

  1. Leistungsschutzrecht VG Media darf Google weiterhin bevorzugen
  2. EU-Verhandlungen Regierung fordert deutsche Version des Leistungsschutzrechts
  3. Fake News EU-Kommission fordert Verhaltenskodex für Online-Plattformen

Oneplus 6 im Test: Neues Design, gleich starkes Preis-Leistungs-Verhältnis
Oneplus 6 im Test
Neues Design, gleich starkes Preis-Leistungs-Verhältnis

Das Oneplus 6 hat einen schnellen Prozessor, eine Dualkamera und ein großes Display - mit einer Einbuchtung am oberen Rand. Der Preis liegt wieder unter dem der meisten Konkurrenzgeräte. Das macht das Smartphone trotz fehlender Innovationen zu einem der aktuell interessantesten am Markt.
Ein Test von Tobias Költzsch

  1. Android-Smartphone Neues Oneplus 6 kostet ab 520 Euro
  2. Oneplus 6 Oneplus verkauft sein neues Smartphone auch direkt in Berlin

Kryptographie: Der Debian-Bug im OpenSSL-Zufallszahlengenerator
Kryptographie
Der Debian-Bug im OpenSSL-Zufallszahlengenerator

Einer der schwerwiegendsten Fehler in der Geschichte der Kryptographie beschäftigte vor zehn Jahren Nutzer der Debian-Distribution. Wenn man danach sucht, findet man noch heute vereinzelt verwundbare Schlüssel.
Von Hanno Böck


      •  /