DevToSCA - Developer-centric Tools for Side-Channel Analysis
Abgewehrte oder erfolgreiche Cyberangriffe auf vernetzte Rechnersysteme sind aus den Schlagzeilen nicht mehr wegzudenken. Eine besonders trickreiche Form der Attacke sind die sogenannten Seitenkanalangriffe. Sie sind meist sehr unauffällig und werden selten bemerkt – auch, weil es in vielen Unternehmen an Expertise mangelt. Die Hochschule Bonn-Rhein-Sieg (H-BRS) entwickelt in einem BMBF-Forschungsprojekt gemeinsam mit Verbundpartnern neuartige Prüfverfahren. Diese sollen es Software-Entwicklern erlauben, die eigenen Produkte automatisiert auf ihre Seitenkanalwiderstandsfähigkeit zu überprüfen.
Was sind Seitenkanalangriffe?
Seitenkanalangriffe heißen so, weil die zu schützenden Daten oder Algorithmen nicht auf direktem Weg angegriffen werden. Die Angriffsmethode sucht vielmehr nach unbeachteten Nebenzugängen, um die Schutzmechanismen eines IT-Systems zu umgehen. Hierbei macht sie sich bestimmte physikalische oder logische Effekte der Hardware- und Softwareplattform des IT-Systems zunutze, um durch Beobachtung und Analyse die eigentlich stark geschützten Informationen zu entlocken. So lässt zum Beispiel der Stromverbrauch auf die aktuelle Rechenleistung und die durchgeführten Operationen eines Prozessors schließen. Andere Angriffsmethoden messen die Zeitdauer, die ein Prozess für die Ausführung einer bestimmten Aktion benötigt. Auf diese Weise kann die angreifende Software Rückschlüsse ziehen auf verwendete geheime Parameter des angegriffenen Prozesses. Besonders kritisch sind solche Informationslecks, wenn Verschlüsselungssoftware angegriffen wird und die geheimen oder privaten Schlüssel entwendet werden können.
Zielsetzung des Projekts
Mit dem Projekt DevToSCA wollen die Hochschule Bonn-Rhein-Sieg und ihre Projektpartner Software-Entwickler befähigen, die eigenen Software-Produkte automatisiert auf ihre Seitenkanalresistenz zu überprüfen. Die Projektpartner in diesem vom Bundesministerium für Bildung und Forschung (BMBF) geförderten Projekt sind neben der H-BRS die Ruhr-Universität Bochum, Kasper & Oswald aus Bochum sowie die Rohde & Schwarz Cybersecurity. Die Partner entwickeln dazu symbolische und statistische Verifikationswerkzeuge zur Seitenkanalanalyse. Damit sollen Anwender auch in die Lage versetzt werden, ihre bereits installierten Software-Produkte im Feld – etwa im Rahmen von Selbsttests – im Hinblick auf ihre Seitenkanaleigenschaften zu überprüfen.
Eine wesentliche Neuheit der Lösungsstrategie des DevToSCA-Projekts besteht darin, dass die Verifikationswerkzeuge speziell für die Anwendung durch Softwareentwickler ohne Expertenwissen zu Seitenkanalanalysen ausgestaltet werden. Dadurch wird diese Nutzergruppe befähigt, eigene Softwareprodukte – auch für sicherheitskritische Anwendungen und Prozesse – eigenständig zu prüfen.
Das Projekt läuft noch bis Mitte 2025.
Weiterführende Informationen
Prof. Dr. Kerstin Lemke-Rust
Hochschule Bonn-Rhein-Sieg
Professorin für Informationssicherheit
Prof. Dr. Luigi Lo Iacono
Hochschule Bonn-Rhein-Sieg
Professor für Informationssicherheit, Daten- und Anwendungssicherheit