Abo
  • Services:

Darpa Cyber Grand Challenge: Mayhem gewinnt Kampf der IT-Security-Bots

Sieben Programme zum automatischen Erkennen und Patchen von Sicherheitslücken traten im Rahmen der Darpa Cyber Grand Challenge gegeneinander an. Die meisten Teilnehmer nutzten dabei eine Kombination aus Fuzzing und Symbolic Execution.

Artikel veröffentlicht am , Hanno Böck
Die "Teilnehmer" der Cyber Grand Challenge - bei der Def Con traten sie gegeneinander an.
Die "Teilnehmer" der Cyber Grand Challenge - bei der Def Con traten sie gegeneinander an. (Bild: Darpa)

In der von der US-Behörde Darpa ausgerichteten Cyber Grand Challenge traten verschiedene Softwaresysteme gegeneinander an, deren Aufgabe es war, vollautomatisch Sicherheitslücken zu finden, zu patchen und zu exploiten. Gewonnen hat das Programm Mayhem vom Team ForAllSecure. Geleitet wird das Forscherteam von David Brumley von der Carnegie-Mellon-Universität in Pittsburgh.

Sicherheitslücken erkennen, patchen und exploiten

Stellenmarkt
  1. Zentiva Pharma GmbH, Berlin
  2. Zentralinstitut für die kassenärztliche Versorgung, Berlin

Im Wettbewerb musste die Software der teilnehmenden Teams eine Binary analysieren, die einen Netzwerkservice bereitstellt. Vorab kannten die Teams die Binary nicht. Zunächst sollten funktionierende Exploits erstellt werden. Zwei Varianten von Exploits zählten demnach: Angriffe, die es ermöglichen, ein bestimmtes Register zu überschreiben und den Instruction Pointer zu kontrollieren oder solche, bei denen der Angreifer Teile des Serverspeichers auslesen kann. Neben den Exploits sollte die Binary auch gepatcht werden, um die vorhandenen Sicherheitslücken zu beseitigen.

Punkte gab es sowohl für erfolgreiche Exploits gegen die Original-Binary als auch für Exploits gegen die gepatchten Versionen der Gegner. Auch musste die gepatchte Binary weiterhin den Service bereitstellen, es musste also dafür gesorgt werden, dass die Patches nicht die Funktionalität beeinträchtigen. Für Performanceeinbußen gab es Punktabzug. Während des gesamten Wettbewerbs gab es für die Teams keine Möglichkeit, manuell einzugreifen, die Software musste alles automatisch erledigen.

Bei der Darpa-Challenge kam ein vereinfachtes Betriebssystem zum Einsatz. David Brumley sagte im Gespräch mit Golem.de jedoch, dass die verwendeten Technologien mit wenigen Änderungen auch auf echten Betriebssystemen genutzt werden können. Vor drei Jahren hatte Brumleys Team eine frühe Version der Mayhem-Software genutzt, um zahlreiche Crashes in Debian-Paketen zu finden.

Viele Teams setzen auf American Fuzzy Lop

Der Mayhem-Bot setzte bei der Bugsuche auf eine Kombination des Fuzzing-Tools American Fuzzy Lop (AFL) und einer sogenannten Symbolic-Execution-Engine. AFL ist ein Coverage-basierter Fuzzer, er testet verschiedene Eingaben und erkennt anhand der verwendeten Codepfade interessante Eingaben. Das originale AFL funktioniert nur mit Software, für die man den Quellcode besitzt, da es den Code mit speziellen Instruktionen versieht, die eine Erkennung der Codepfade ermöglichen. Brumleys Team nutzte daher eine eigene Variante der Instrumentierung, die auf eine Binärdatei angewendet werden kann. Andere Teams, die denselben Fuzzer nutzten, machten dabei vom in AFL bereits vorhandenen QEMU-Modus Gebrauch. Dieser ist allerdings vergleichsweise langsam.

Coverage-basiertes Fuzzing, wie es AFL verwendet, ist zwar sehr effektiv, um Bugs zu finden, in einigen Situationen kommt der Fuzzer jedoch nicht von selbst weiter. Das ist etwa dann der Fall, wenn ein bestimmter längerer String in der Eingabe notwendig ist, um eine bestimmte Funktionalität auszulösen. Um solche Fälle abzudecken, setzte der Mayhem-Bot auf Symbolic Execution. Dabei handelt es sich um eine formale Analyse der Software, die entsprechende Eingaben erzeugt, um bestimmte Codepfade zu erreichen. Auf ganze Programme angewendet ist Symbolic Execution oft kaum praktikabel, da es viel zu viele mögliche Codepfade und Eingaben gibt.

American Fuzzy Lop ist in gewisser Weise ein heimlicher Gewinner der Darpa-Challenge: Die meisten der teilnehmenden Teams setzten laut Brumley auf eine Kombination von AFL und anderen Technologien.

Neben dem Patchen von erkannten Sicherheitslücken nutzte Brumleys Team eine generische Methode, um Control-Flow-Integrity (CFI) nachträglich in die Binaries zu integrieren. Dabei handelt es sich um Mechanismen, die generisch die Ausnutzung bestimmter Bug-Klassen verhindern sollen. Die verwendete CFI-Technologie hat dabei einen Performance-Overhead von etwa fünf Prozent.

Das ForAllSecure-Team will seine Technologie kommerziell vermarkten und ist somit gleichzeitig auch ein Startup. Für andere Forscher und Hacker, die sich die Technologien ansehen wollen, ist das bedauerlich, da die verwendeten Tools nicht öffentlich zugänglich sind. Das drittplazierte Team Shellphish gibt sich da offener: Ein Analysetool namens angr ist unter einer freien Lizenz verfügbar, weitere Tools sollen nach der Def Con veröffentlicht werden.

Zumindest vorläufig müssen sich IT-Security-Experten wohl noch nicht sorgen, dass ihre Jobs bald durch Bots ersetzt werden. David Brumley sieht die Aufgabe derartiger Tools vorerst darin, Sicherheitslücken in schlecht gewarteter Software wie beispielsweise DSL-Routern zu finden. Erst in einigen Jahrzehnten sieht er diese so weit, dass sie mit den besten menschlichen Bug-Suchern mithalten können.

Mayhem chancenlos bei "Capture the Flag"

Der Gewinner-Bot Mayhem durfte im Rahmen der Def Con auch am "Capture the Flag"-Contest teilnehmen, einem Hackerwettbewerb mit menschlichen Teams. Wenig überraschend musste sich der Bot den meisten menschlichen Teams geschlagen geben: Es reichte nur für einen vorletzten Platz.



Anzeige
Hardware-Angebote
  1. 399€ (Wert der Spiele rund 212€)
  2. 249€ + Versand
  3. ab 225€
  4. 99,90€

ApoY2k 09. Aug 2016

Top, danke! Werd mal reinschauen.

brotherelf 08. Aug 2016

der bekommt jetzt ein Jahr lang von den Kollegen zu hören, ob er denn einen...


Folgen Sie uns
       


Sekiro - Test

Ein einsamer Kämpfer und sein Katana stehen im Mittelpunkt von Sekiro - Shadows Die Twice. Das Actionspiel von From Software schickt Spieler in ein spannendes Abenteuer voller Herausforderungen.

Sekiro - Test Video aufrufen
Adblock Plus: Adblock-Filterregeln können Code ausführen
Adblock Plus
Adblock-Filterregeln können Code ausführen

Unter bestimmten Voraussetzungen können Filterregeln für Adblocker mit einer neuen Funktion Javascript-Code in Webseiten einfügen. Adblock Plus will reagieren und die entsprechende Funktion wieder entfernen. Ublock Origin ist nicht betroffen.
Von Hanno Böck


    Fitbit Versa Lite im Test: Eher smartes als sportliches Wearable
    Fitbit Versa Lite im Test
    Eher smartes als sportliches Wearable

    Sieht fast aus wie eine Apple Watch, ist aber viel günstiger: Golem.de hat die Versa Lite von Fitbit ausprobiert. Neben den Sport- und Fitnessfunktionen haben uns besonders der Appstore und das Angebot an spaßigen und ernsthaften Anwendungen interessiert.
    Von Peter Steinlechner

    1. Smartwatch Fitbit stellt Versa Lite für Einsteiger vor
    2. Inspire Fitbits neues Wearable gibt es nicht im Handel
    3. Charge 3 Fitbit stellt neuen Fitness-Tracker für 150 Euro vor

    Jobporträt: Wenn die Software für den Anwalt kurzen Prozess macht
    Jobporträt
    Wenn die Software für den Anwalt kurzen Prozess macht

    IT-Anwalt Christian Solmecke arbeitet an einer eigenen Jura-Software, die sogar automatisch auf Urheberrechtsabmahnungen antworten kann. Dass er sich damit seiner eigenen Arbeit beraubt, glaubt er nicht. Denn die KI des Programms braucht noch Betreuung.
    Von Maja Hoock

    1. Struktrurwandel IT soll jetzt die Kohle nach Cottbus bringen
    2. IT-Jobporträt Spieleprogrammierer "Ich habe mehr Code gelöscht als geschrieben"
    3. Recruiting Wenn die KI passende Mitarbeiter findet

      •  /