Markt + Trends | IT-Sicherheit | iX

Codeanalysetool nicht nur für Entwickler

Das Fraunhofer-Institut für Angewandte und Integrierte Sicherheit AISEC hat gemeinsam mit dem BSI ein Analysewerkzeug namens Codyze entwickelt (ix.de/zy3r). Es soll Softwareentwickler und Auditoren mit automatisierten Codeüberprüfungen unterstützen. Zwar existieren bereits zahlreiche dieser Codescanner, sie dienen in der Regel jedoch dazu, typische Programmierfehler und schlecht strukturierten Code zu finden. Das vermittelt zwar einen ersten Eindruck über mögliche Sicherheitslücken, genügt aber laut AISEC nicht, um das Einhalten von Compliancevorgaben zu überprüfen, beispielsweise die korrekte Verwendung von Kryptografie.

Hier setzt Codyze an, das insbesondere dazu entwickelt wurde, Auditoren bei der Zertifizierung und Zulassung sicherheitskritischer Software zu unterstützen. Es führt sowohl statische Analysen am Quelltext durch als auch Überprüfungen von nicht lauffähigen Quellcodeausschnitten. Die fehlerhafte Verwendung kryptografischer Bibliotheken, etwa durch Auswählen ungeeigneter Algorithmen, ist eine häufige Schwachstelle. Daher hat das BSI Empfehlungen zu Kryptoverfahren und Schlüssellängen in der Technischen Richtlinie TR 02102-1 zusammengefasst. Codyze überprüft gemäß den Anforderungen dieser Richtlinie, ob die Auswahl der Algorithmen und deren Konfiguration bei der Verwendung der häufig eingesetzten Bibliotheken Bouncycastle (Java) und Botan2 (C++) korrekt ist und ob die richtige Reihenfolge der Operationen wie beispielsweise Verschlüsselung oder Initialisierung eingehalten wurde. (ur@ix.de)