Dieser Bot jagt Software-Bugs für das Pentagon
Mayhem entstand 2016 aus einem von der
Regierung gesponserten Wettbewerb in einem Casino-Hotel in Las Vegas.
Jetzt wird es vom Militär verwendet.
Two airforce pilots in cockpit of plane
Das Mayhem-Tool identifizierte Fehler in der
Steuerungssoftware für die militärische Version eines kommerziellen
Flugzeugs.FOTO: RICHARD BAKER/GETTY IMAGES
ENDE LETZTEN JAHRES, David Haynes,
Sicherheitsingenieur bei der Internet-Infrastrukturfirma Cloudflare, sah
sich ein seltsames Bild an. "Es war reiner Kauderwelsch", sagt er. "Eine
ganze Reihe von grauen und schwarzen Pixeln, die von einer Maschine
hergestellt werden." Er lehnte es ab, das Bild zu teilen, und sagte,
dass es ein Sicherheitsrisiko wäre.
Haynes' Vorsicht war verständlich. Das Bild
wurde von einem Tool namens Mayhem erstellt, das Software untersucht, um
unbekannte Sicherheitslückenzu finden, die von einem Startup gemacht
wurden, das von der Carnegie Mellon University namens ForAllSecure
gesponnen wurde. Haynes hatte es auf Cloudflare-Software getestet, die
Bilder so formatiert, dass sie Websites beschleunigen, und sie mit
mehreren Beispielfotos gefüttert. Mayhem mutierte sie zu glitchy,
verfluchten Bildern, die die Fotoverarbeitungssoftware abstürzten, indem
sie einen unbemerkten Fehler auslösten, eine Schwäche, die Kunden, die
Cloudflare bezahlen, Kopfschmerzen bereitet haben könnte, damit ihre
Websites reibungslos laufen.
Cloudflare hat Mayhem seitdem zu einem
Standard-Teil seiner Sicherheitstools gemacht. Auch die US-Luftwaffe,
die Marine und die Armee haben sie eingesetzt. Letzten Monat vergab das
Pentagon ForAllSecure einen Auftrag über 45 Millionen US-Dollar, um den
Einsatz von Mayhem auf das US-Militär auszuweiten. Die Abteilung hat
viele Bugs zu finden. Ein Regierungsbericht aus dem Jahr 2018 stellte
fest, dass fast alle Waffensysteme, die das Verteidigungsministerium
zwischen 2012 und 2017 getestet hatte, schwerwiegende
Software-Schwachstellen aufwiesen.
Mayhem ist nicht ausgeklügelt genug, um die
Arbeit menschlicher Fehlerfinder vollständig zu ersetzen, die Kenntnisse
über Softwaredesign, Codelesefähigkeiten, Kreativität und Intuition
nutzen, um Fehler zu finden. Aber ForAllSecure Mitbegründer und CEO
David Brumley sagt, dass das Tool menschlichen Experten helfen kann,
mehr zu erreichen. Die Software der Welt hat mehr Sicherheitslücken, als
Experten haben Zeit zu finden, und mehr Fehler versenden jede Minute.
"Sicherheit bedeutet nicht, sicher oder unsicher zu sein, sondern darum,
wie schnell man sich bewegen kann", sagt Brumley.
Mayhem entstand in einem ungewöhnlichen 2016
Hacking-Wettbewerb in einem Las Vegas Casino Ballroom. Hunderte von
Menschen kamen, um die Cyber Grand Challenge zu sehen, die von der
Pentagon-Forschungsagentur DARPA veranstaltet wurde. Aber es gab nary
einen Menschen auf der Bühne, nur sieben gaudily beleuchtete
Computerserver. Jeder hostet einen Bot, der versuchte, Fehler auf den
anderen Servern zu finden und auszunutzen, während er gleichzeitig seine
eigenen Fehler fand und patchte. Nach acht Stunden gewann Mayhem,
hergestellt von einem Team aus Brumleys Carnegie Mellon
Sicherheitslabor, den Mitgeld in Höhe von 2 Millionen US-Dollar. Sein
magentabeleuchteter Server landete im Smithsonian.
Brumley, der immer noch Ein Carnegie Mellon
Professor ist, sagt, dass die Erfahrung ihn überzeugt hat, dass die
Kreation seines Labors in der realen Welt nützlich sein könnte. Er legte
die offensiven Fähigkeiten seines Teams Bot beiseite, Argumentation
Verteidigung war wichtiger, und machte sich daran, es zu
kommerzialisieren. "Die Cyber Grand Challenge hat gezeigt, dass völlig
autonome Sicherheit möglich ist", sagt er. "Computer können einen recht
guten Job machen."
Das dachten auch die Regierungen Chinas und
Israels. Beide boten Verträge an,aber ForAllSecure unterschrieb bei
Uncle Sam. Es erhielt einen Vertrag mit der Defense Innovation Unit,
einer Pentagon-Gruppe, die versucht, neue Technologien in das US-Militär
zu beschleunigen.
ForAllSecure wurde herausgefordert, Mayhems
Treffsicherheit zu beweisen, indem er nach Fehlern in der
Steuerungssoftware eines kommerziellen Passagierflugzeugs mit einer
militärischen Variante suchte, die von US-Streitkräften verwendet wurde.
In wenigen Minuten fand der Autohacker eine Schwachstelle, die
anschließend vom Flugzeughersteller überprüft und behoben wurde.
Andere Bugs, die von Mayhem gefunden wurden,
sind einer, der Anfang dieses Jahres in der OpenWRT-Software entdeckt
wurde, die in Millionen von Netzwerkgeräten verwendet wird. Letzten
Herbsterzielten zwei Praktikanten des Unternehmens eine Auszahlung aus
dem Bug Bounty-Programm von Netflix, nachdem sie Mayhem verwendet
hatten, um einen Fehler in der Software zu finden, mit der Menschen
Videos von ihrem Telefon an einen Fernseher senden können.
Brumley says interest from automotive and
aerospace companies is particularly strong. Cars and planes rely
increasingly on software, which needs to function reliably for years and
is updated rarely, if at all.
Die erste ist eine Technik namens Fuzzing, bei
der die Zielsoftware mit zufällig generierten Eingaben wie Befehlen oder
Fotos bombardiert wird und beobachtet wird, ob ein Ausnutzbarer
Ausnutzbarer Abstürze ausnutzt. Die zweite wird symbolische Ausführung
genannt und beinhaltet die Erstellung einer vereinfachten mathematischen
Darstellung der Zielsoftware. Dieses verdummte Double kann analysiert
werden, um potenzielle Schwachstellen im realen Ziel zu identifizieren.
https://www.wired.com/story/bot-hunts-software-bugs-pentagon/