Bausteine der Sicherheit

Sicherheitsberater Sams schwört auf ein anderes Modell: den "Secure Software Development Lifecycle" (Secure SDLC), dessen Umsetzung im Entwicklerunternehmen schon einmal bis zu zwei Jahre in Anspruch nehmen könne. "Je nach Unternehmensgröße bekommen Sie es dazu später mit fünf bis acht Prozent Mehrkosten während der Entwicklungsphase zu tun, die Sie aber nach Fertigstellung eines Produkts durch die geringeren Aufwendungen für Patches und Updates wieder hereinholen", rechnet er vor.

Die Prozesssammlung "Secure SDLC" sei nach dem Prinzip "Strenge Qualitätsanforderungen hinsichtlich der IT-Sicherheit bringen auch eine Qualitätsverbesserung" ausgerichtet: Die langwierige und komplexe Einführung dieses Frameworks würden sich meist jedoch nur größere Unternehmen leisten, so Sams. Wie sich das modular aufgebaute Modell, das die Arbeitsabläufe eines Unternehmens unter dem Aspekt IT-Security überarbeiten helfen soll, individuell anwenden lässt, hängt vom Unternehmen und seinen Produkten ab.

Maskierter Binärcode

Safenet hat ein ähnliches Framework bereits im Einsatz und bezeichnet seine Sammlung sicherer Entwicklungsprozesse als "Information Lifecycle Protection". "Mit verschiedenen Techniken lässt sich ein Programmcode vor De-Assemblierung schützen, sodass er nur bei seiner Ausführung entschlüsselt wird", erklärt Sales Engineer Stefan Haupt. Wie diese Methode genau funktioniert, erläutert Bartol Filipovic: "Frei verfügbare Hackertools können Binärcode automatisiert nach bestimmten Signaturen durchsuchen, anhand derer sich kryptographische Algorithmen erkennen und dechiffrieren lassen. Die Frage ist also, wie sich dieses Scannen verhindern lässt." Die Antwort schiebt er direkt nach: Indem der Binärcode über mehrere verschiedene Objekte hinweg versteckt und erst bei seiner Ausführung entschlüsselt werde, sei er im Regelfall für einen Angreifer nicht aufzufinden. Das "Obfuskierung" genannte Verfahren bringe jedoch meist nur einen Zeitvorteil gegenüber möglichen Angreifern und keine dauerhafte Sicherheit, solange eine Software ohne zusätzlich benötigtes Hardware-Token eingesetzt werde. "Da die von uns entwickelten Sicherheitsverfahren aber nicht kommerziell vertrieben werden und auf einzelne Industrieanwender zugeschnitten sind, lohnt sich der Hackaufwand meist nicht", berichtet Filipovic.