Abo
  • Services:
Anzeige
Google will Open-Source-Projekten helfen, ihre Software mittels Fuzzing sicherer zu machen.
Google will Open-Source-Projekten helfen, ihre Software mittels Fuzzing sicherer zu machen. (Bild: Giuseppe Milo, Wikimedia Commons/CC-BY 2.0)

OSS-Fuzz: Google will Open-Source-Software mit Fuzzing sicherer machen

Google will Open-Source-Projekten helfen, ihre Software mittels Fuzzing sicherer zu machen.
Google will Open-Source-Projekten helfen, ihre Software mittels Fuzzing sicherer zu machen. (Bild: Giuseppe Milo, Wikimedia Commons/CC-BY 2.0)

Google startet eine Initiative, um wichtige Open-Source-Software mittels Fuzzing zu testen. Dabei werden Programme mit fehlerhaften Eingaben getestet.

Fuzzing ist eines der mächtigsten Tools, um Sicherheitslücken in Software zu identifizieren. Google möchte jetzt wichtigen Open-Source-Projekten dabei helfen, Lücken in ihrer Software zu identifizieren. Projekte können sich bewerben und werden dann dauerhaft auf Google-eigenen Servern getestet.

Anzeige

Große Fortschritte bei Fuzzing-Tools

Beim Fuzzing nutzt man fehlerhafte Eingabedaten und prüft, ob die Software beim Verarbeiten der Daten abstürzt. In den letzten Jahren hat es enorme Fortschritte bei der Entwicklung von Fuzzing-Software gegeben. Tools wie American Fuzzy Lop oder LibFuzzer nutzen dabei sogenanntes Coverage-basiertes Fuzzing. Dabei beobachtet das Fuzzing-Tool, welche Codepfade in einer Datei durch bestimmte Eingaben genutzt werden und passt die Fuzzing-Strategie entsprechend an.

Googles Initiative testet Software zunächst mit LibFuzzer. Später sollen andere Fuzzing-Tools dazukommen. Außerdem werden die Sanitizer-Tools von LLVM genutzt. Dabei handelt es sich um Compiler-Flags, die bestimmte Bug-Typen in C-Code finden, die normalerweise nicht zum Absturz einer Software führen.

Ein Beispiel für eine Software, die bereits von Googles OSS-Fuzz getestet wird, ist FreeType. Die Bibliothek zur Verarbeitung von Schriftarten wird von vielen Browsern und unzähligen anderen Applikationen genutzt. FreeType ist ein sehr typischer Kandidat für eine Software, die von Fuzzing stark profitieren kann. Es unterstützt sehr viele komplexe Dateiformate, beim Parsen der Font-Dateien kann viel schiefgehen.

Anhand von FreeType kann man sich ein Bild davon machen, wie Googles neues Projekt funktioniert: Findet der Fuzzer einen Bug, wird automatisch ein Bugreport in einem Google-eigenen Bugtracker angelegt und der Maintainer der Software informiert. Der Bug ist zunächst nur für den Maintainer einsehbar. Wenn der Bug gefixt ist oder wenn 90 Tage vorbei sind wird der Bugreport automatisch öffentlich.

Bewerben für OSS-Fuzz können sich Projekte, die eine große Nutzerbasis haben und wichtig für die IT-Infrastruktur sind. Um teilzunehmen müssen die Projekte dann einige Konfigurationen und Test-Code einreichen, der dann von Googles ClusterFuzz-Framework verarbeitet wird.

Für Software, die bereits relativ robust ist, ist Googles Fuzzing-Framework eine attraktive Option, um die Sicherheit weiter zu verbessern. Allerdings ist es in vielen Fällen überhaupt nicht nötig, mit viel Rechenpower Fuzzing zu betreiben. Bei vielen Softwareprojekten kann man mittels Fuzzing bereits nach Minuten Fehler finden. Dafür benötigt man keine rechenstarken Google-Server.

Der Autor dieses Texts betreibt das von der Core Infrastructure Initiative unterstützte Fuzzing Project, das ein ähnliches Ziel verfolgt. Er hat in den vergangenen Jahren hunderte Bugs mittels Fuzzing gefunden und an die entsprechenden Projekte gemeldet.


eye home zur Startseite
My1 02. Dez 2016

ist eine perfekte test suite für software die automatisch auf SQL injection und sonst...



Anzeige

Stellenmarkt
  1. Robert Bosch GmbH, Stuttgart
  2. Bosch Sicherheitssysteme GmbH, Grasbrunn bei München
  3. Hexagon Metrology Vision GmbH, Saarwellingen
  4. Bundeskriminalamt, Wiesbaden


Anzeige
Top-Angebote
  1. 299,00€
  2. 47,99€
  3. 29,97€

Folgen Sie uns
       


  1. Microsoft

    Das Surface Book 2 kommt in zwei Größen

  2. Tichome Mini im Hands On

    Google-Home-Konkurrenz startet für 82 Euro

  3. Düsseldorf

    Telekom greift Glasfaserausbau von Vodafone an

  4. Microsoft

    Neue Firmware für Xbox One bietet mehr Übersicht

  5. Infrastrukturabgabe

    Kleinere deutsche Kabelnetzbetreiber wollen Geld von Netflix

  6. Pixel 2 und Pixel 2 XL im Test

    Google fehlt der Mut

  7. Baden-Württemberg

    Unitymedia schließt Sendeplatzumstellung ab

  8. Gesetz gegen Hasskommentare

    Die höchsten Bußgelder drohen nur Facebook

  9. GPD Pocket im Test

    Winziger Laptop für Wenigtipper

  10. Neue WLAN-Treiber

    Intel muss WLAN und AMT-Management gegen Krack patchen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Programmiersprache für Android: Kotlin ist auch nur eine Insel
Programmiersprache für Android
Kotlin ist auch nur eine Insel
  1. Programmiersprache Fetlang liest sich "wie schlechte Erotikliteratur"
  2. CMS Drupal 8.4 stabilisiert Module
  3. Vespa Yahoos Big-Data-Engine wird Open-Source-Projekt

Core i7-8700K und Core i5-8400 im Test: Ein Sechser von Intel
Core i7-8700K und Core i5-8400 im Test
Ein Sechser von Intel
  1. Core i7-8700K Ultra Edition Overclocking-CPU mit Silber-IHS und Flüssigmetall
  2. Intel Coffee Lake Von Boost-Betteln und Turbo-Tricks
  3. Coffee Lake Intel verkauft sechs Kerne für unter 200 Euro

Blade Runner 2049: Ein gelungenes Update für die Zukunft
Blade Runner 2049
Ein gelungenes Update für die Zukunft

  1. Re: Letzte infos vor dem Start von mir

    itza | 17:00

  2. Re: Jetzt ist Fachwissen gefragt!

    delphi | 16:59

  3. Re: Sehr geil: Der erste vernünftige ATARI...

    Topf | 16:59

  4. Re: Im Vergleich zum Fernsehen

    Dwalinn | 16:58

  5. Re: Immer wieder lustig,

    nille02 | 16:56


  1. 17:15

  2. 17:00

  3. 16:37

  4. 15:50

  5. 15:34

  6. 15:00

  7. 14:26

  8. 13:15


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel