Homepage C-Security Cyberspace CSpionage CTerror  Gefährdung Kriminalität  Computer Kommunikation  Systeme Mensch Information Mobiltelephon Ramson Emission Schwachstellen
 Quanten Forschung Fachberichte Wirtschafte Technik Netzee Kryptologiee Geheimdienste kyb.Waffen Bildung Supercomp. Standorte I-Satelliten Diverses C-Politik  Verschlüsselung
Schwachstellen Hardware Programme Software History Kommunikation IoT / Geräte Militär Netzwerke Handys Mensch Spionagetools Tools Industrie
MS Exchange Solar Winds RamsonFlicken
Schwach-stellen

Software - Firmware

Zwei Millionen Schadprogramme 2016 enthüllt – Experten


WhatsApp Anfälligkeit zur israelischen Spyware installieren Benutzer aufgefordert, Upgrade

Hunderte von Millionen von PC-Komponenten haben immer noch hackbare Firmware
Identitätsdiebstahl: Sicherheitsforscher warnen vor grundlegender Lücke in LTE-Netzen

Eine Elite-Spionagegruppe nutzte 5 Zero-Days, um Nordkoreaner zu hacken

Diese Karte zeigt die globale Verbreitung von Zero-Day Hacking-Techniken
Web-Giganten scrambled to Head Off eine gefährliche DDoS-Technik
Bot jagt Software-Bugs für das Pentagon
Schlampige Software-Patches sind ein "beunruhigender Trend"
 
 
W i r e d
weiter

Dieser Bot jagt Software-Bugs für das Pentagon

Dieser Bot jagt Software-Bugs für das Pentagon

Mayhem entstand 2016 aus einem von der Regierung gesponserten Wettbewerb in einem Casino-Hotel in Las Vegas. Jetzt wird es vom Militär verwendet.

Two airforce pilots in cockpit of plane

Das Mayhem-Tool identifizierte Fehler in der Steuerungssoftware für die militärische Version eines kommerziellen Flugzeugs.FOTO: RICHARD BAKER/GETTY IMAGES

 

ENDE LETZTEN JAHRES, David Haynes, Sicherheitsingenieur bei der Internet-Infrastrukturfirma Cloudflare, sah sich ein seltsames Bild an. "Es war reiner Kauderwelsch", sagt er. "Eine ganze Reihe von grauen und schwarzen Pixeln, die von einer Maschine hergestellt werden." Er lehnte es ab, das Bild zu teilen, und sagte, dass es ein Sicherheitsrisiko wäre.

 

Haynes' Vorsicht war verständlich. Das Bild wurde von einem Tool namens Mayhem erstellt, das Software untersucht, um unbekannte Sicherheitslückenzu finden, die von einem Startup gemacht wurden, das von der Carnegie Mellon University namens ForAllSecure gesponnen wurde. Haynes hatte es auf Cloudflare-Software getestet, die Bilder so formatiert, dass sie Websites beschleunigen, und sie mit mehreren Beispielfotos gefüttert. Mayhem mutierte sie zu glitchy, verfluchten Bildern, die die Fotoverarbeitungssoftware abstürzten, indem sie einen unbemerkten Fehler auslösten, eine Schwäche, die Kunden, die Cloudflare bezahlen, Kopfschmerzen bereitet haben könnte, damit ihre Websites reibungslos laufen.

 

Cloudflare hat Mayhem seitdem zu einem Standard-Teil seiner Sicherheitstools gemacht. Auch die US-Luftwaffe, die Marine und die Armee haben sie eingesetzt. Letzten Monat vergab das Pentagon ForAllSecure einen Auftrag über 45 Millionen US-Dollar, um den Einsatz von Mayhem auf das US-Militär auszuweiten. Die Abteilung hat viele Bugs zu finden. Ein Regierungsbericht aus dem Jahr 2018 stellte fest, dass fast alle Waffensysteme, die das Verteidigungsministerium zwischen 2012 und 2017 getestet hatte, schwerwiegende Software-Schwachstellen aufwiesen.

 

Mayhem ist nicht ausgeklügelt genug, um die Arbeit menschlicher Fehlerfinder vollständig zu ersetzen, die Kenntnisse über Softwaredesign, Codelesefähigkeiten, Kreativität und Intuition nutzen, um Fehler zu finden. Aber ForAllSecure Mitbegründer und CEO David Brumley sagt, dass das Tool menschlichen Experten helfen kann, mehr zu erreichen. Die Software der Welt hat mehr Sicherheitslücken, als Experten haben Zeit zu finden, und mehr Fehler versenden jede Minute. "Sicherheit bedeutet nicht, sicher oder unsicher zu sein, sondern darum, wie schnell man sich bewegen kann", sagt Brumley.

 

Mayhem entstand in einem ungewöhnlichen 2016 Hacking-Wettbewerb in einem Las Vegas Casino Ballroom. Hunderte von Menschen kamen, um die Cyber Grand Challenge zu sehen, die von der Pentagon-Forschungsagentur DARPA veranstaltet wurde. Aber es gab nary einen Menschen auf der Bühne, nur sieben gaudily beleuchtete Computerserver. Jeder hostet einen Bot, der versuchte, Fehler auf den anderen Servern zu finden und auszunutzen, während er gleichzeitig seine eigenen Fehler fand und patchte. Nach acht Stunden gewann Mayhem, hergestellt von einem Team aus Brumleys Carnegie Mellon Sicherheitslabor, den Mitgeld in Höhe von 2 Millionen US-Dollar. Sein magentabeleuchteter Server landete im Smithsonian.

Brumley, der immer noch Ein Carnegie Mellon Professor ist, sagt, dass die Erfahrung ihn überzeugt hat, dass die Kreation seines Labors in der realen Welt nützlich sein könnte. Er legte die offensiven Fähigkeiten seines Teams Bot beiseite, Argumentation Verteidigung war wichtiger, und machte sich daran, es zu kommerzialisieren. "Die Cyber Grand Challenge hat gezeigt, dass völlig autonome Sicherheit möglich ist", sagt er. "Computer können einen recht guten Job machen."

Das dachten auch die Regierungen Chinas und Israels. Beide boten Verträge an,aber ForAllSecure unterschrieb bei Uncle Sam. Es erhielt einen Vertrag mit der Defense Innovation Unit, einer Pentagon-Gruppe, die versucht, neue Technologien in das US-Militär zu beschleunigen.

ForAllSecure wurde herausgefordert, Mayhems Treffsicherheit zu beweisen, indem er nach Fehlern in der Steuerungssoftware eines kommerziellen Passagierflugzeugs mit einer militärischen Variante suchte, die von US-Streitkräften verwendet wurde. In wenigen Minuten fand der Autohacker eine Schwachstelle, die anschließend vom Flugzeughersteller überprüft und behoben wurde.

Andere Bugs, die von Mayhem gefunden wurden, sind einer, der Anfang dieses Jahres in der OpenWRT-Software entdeckt wurde, die in Millionen von Netzwerkgeräten verwendet wird. Letzten Herbsterzielten zwei Praktikanten des Unternehmens eine Auszahlung aus dem Bug Bounty-Programm von Netflix, nachdem sie Mayhem verwendet hatten, um einen Fehler in der Software zu finden, mit der Menschen Videos von ihrem Telefon an einen Fernseher senden können.

Brumley says interest from automotive and aerospace companies is particularly strong. Cars and planes rely increasingly on software, which needs to function reliably for years and is updated rarely, if at all.

 

Die erste ist eine Technik namens Fuzzing, bei der die Zielsoftware mit zufällig generierten Eingaben wie Befehlen oder Fotos bombardiert wird und beobachtet wird, ob ein Ausnutzbarer Ausnutzbarer Abstürze ausnutzt. Die zweite wird symbolische Ausführung genannt und beinhaltet die Erstellung einer vereinfachten mathematischen Darstellung der Zielsoftware. Dieses verdummte Double kann analysiert werden, um potenzielle Schwachstellen im realen Ziel zu identifizieren.

 

https://www.wired.com/story/bot-hunts-software-bugs-pentagon/

s/
Di