AI-DevAssist: KI-gestützte, sichere Softwareentwicklung

achelos verbessert die Softwareentwicklung in sicherheitsrelevanten Industrieprojekten

Die Digitalisierung hält immer mehr Einzug in alle Lebensbereiche. Kritische Schwachstellen in der Softwareentwicklung stellen ein enormes Sicherheitsrisiko dar und steigen rasant an. Im Projekt werden Methoden zum Einsatz Künstlicher Intelligenz (KI) erforscht, die Schwachstellen in Softwarecode erkennt und so Cyberangriffe verhindern kann. Das Gesamtvolumen des Projekts liegt bei 2,24 Millionen Euro einschließlich eigener Mittel der Projektpartner.

AI-DevAssist in Daten und Fakten:

Das Ziel:

Die Entwicklung sicherer und zuverlässiger Software ist eine große und bisher ungelöste Herausforderung. Die Anzahl der kritischen Schwachstellen steigt trotz aller Eindämmungsversuche, wie die Abbildung z.B. den Anstieg der CVE (Common Vulnerabilities and Exposures⁽¹⁾) von 2006 bis 2018 zeigt. Eine Analyse von Microsoft Research belegt, dass Entwickler heute größtenteils dieselben Fehler machen, wie vor 20 Jahren⁽²⁾. Ziel dieses Projektes ist es, KI-gestützte Methoden zur Schwachstellenerkennung zu erforschen und Demonstratoren zu entwickeln, die Entwicklern und Entwicklerinnen eine leichtere und sichere Softwareentwicklung ermöglichen.

Konkreter ist es das Ziel, den State-of-the-Art in der Sicherheitsanalyse am Beispiel von Java voranzutreiben. Dabei werden Methoden der künstlichen Intelligenz entwickelt, die bestehende statische und Fuzzing-Analysewerkzeuge erweitern und eine direkte Interaktion zwischen den Softwareentwicklern und der KI erlauben. Fuzzing ist eine dynamische Software Analyse die bereits rudimentäre Machine Learning Ansätze nutzt. 

Um diese Zielsetzung zu erreichen, bringt AI-DevAssist die Expertise weltweit führender Expertenteams aus den Forschungsbereichen Artificial Intelligence, Secure Software Engineering und Usable Security zusammen. Usable Security befasst sich im Kern mit dem Faktor Mensch in der Sicherheit und wie Technik den Menschen dabei unterstützen kann, sichere Software zu entwickeln. Der Lösungsweg von AI-DevAssist besteht in der Entwicklung von KI-Komponenten, die diese Aufgabe übernehmen und Softwarefehler identifizieren. AI-DevAssist setzt hier auf neuartige Methoden des Secure Software Engineering — speziell der automatisierten Codeanalyse —, um einen KI-Assistenten zu entwickeln, der Schwachstellen auf Basis semantischer Programmeigenschaften effektiv erkennen kann. Zudem werden Methoden für die Interaktionen zwischen einer KI und Softwareentwicklern erforscht und entwickelt, um den Wissenstransfer zwischen Entwickler und Security-Werkzeug zu optimieren.

Die achelos-Aufgaben:

achelos erstellt einen Benchmark und begleitet die Evaluierung der sicheren Softwareentwicklung auf Basis von Künstlicher Intelligenz (KI)

Ziel des achelos-Teilvorhabens ist das Erheben von Anforderungen an die zu entwickelnde Analysesoftware, das Erstellen einer Benchmark und die Evaluation der im Projekt entwickelten Lösungen. achelos baut dabei auf ihre langjährige Erfahrung in der Entwicklung sicherheitsrelevanter Software in Industrieprojekten und trägt dieses Know-how in das Projekt.

Hauptaufgabe: Erstellung der Benchmark

achelos nutzt Schwachstellen aus bekannten Benchmarks und ergänzt diese um Schwachstellen, die sich mit aktuellen Werkzeugen nicht finden lassen. achelos wird die Benchmark in eine Trainings- und Evaluierungsinfrastruktur integrieren und ermöglicht so eine ständige Evaluierung der im Projekt entwickelten Lösungen. Ein Expertenteam aus der achelos-Entwicklung, mit Erfahrungen in sicherheitsrelevanten Industrieprojekten wird sich an der Evaluierung der Mensch-KI-Schnittstelle beteiligen.

achelos bringt Expertise in Entwicklung sicherheitsrelevanter Software ein

achelos besitzt langjährige Erfahrung in Beratung, Entwicklung und Test für Software aus sicherheitskritischen Anwendungsbereichen. Zum achelos-Portfolio zählen automatisierte Testsuiten für sichere Netzwerkprotokolle, Sicherheit von Zertifikaten und hochsichere Komponenten. Unsere Testsuiten werden speziell zur Abnahme von Produkten eingesetzt, die nach Common Criteria zertifiziert werden müssen. Bei einer Zertifizierung nach einer bestimmten Evaluation Assurance Level (EAL) — Stufe (EAL 1 - 7) ist eine Betrachtung der sicheren Implementierung sowie Schwachstellen ein wichtiges Kriterium. Die Expertise der achelos auf dem Gebiet der Testsuiten ist vor allem für die Konzipierung und Erstellung der Benchmark relevant.

Im it’s OWL Transferprojekt „Integration von CogniCrypt“ hat achelos bereits Erfahrungen im Bereich der statischen Codeanalyse mit dem Werkzeug CogniCrypt gesammelt. Hier wurde CogniCrypt in die Continiuous-Integration-Umgebung der achelos sowie als Plug-In in die Softwareentwicklungsumgebung Eclipse integriert und um Regeln für die Kryptobibliothek BouncyCastle erweitert.

Des Weiteren arbeitet achelos im BMBF-Projekt AutoSCA zusammen mit den Projektpartnern daran, Seitenkanalangriffe gegen kryptographische Protokolle erstmals automatisiert analysieren und vermeiden zu können. Dazu arbeitet die achelos interdisziplinär mit Kryptografen und Machine Learning Experten zusammen, um Wissen in den Grundlagen zum Machine Learning und um geeignete Machine Learning Verfahren aufzubauen und damit weitere kryptografische Schwachstellen mit ihren Testsuiten für sichere Netzwerkprotokolle aufdecken zu können.

⁽¹⁾ http://1https://cve.mitre.org/ ⁽²⁾ Matt Miller. Trends, Challenges, and Strategic Shifts in the Software Vulnerability Mitigation Landscape. In BlueHat IL, 2019.

Weitere Informationen:

www.forschung-it-sicherheit-kommunikationssysteme.de/projekte/ki-gestuetzte-sichere-softwareentwicklung-ai-devassist

Kontakt:

Dr. Claudia Priesterjahn
Projektmanagerin

claudia.priesterjahn@achelos.de
T: +49 5251 14212-0

KogniHome: eine mitdenkende Wohnung fürs Leben

achelos bringt Expertise zum Sicherheitstoken und Schlüsselmanagement ein

Die Tür begrüßt Besucher, der Garderobenspiegel erinnert an den Schlüssel, der Herd warnt, wenn die Milch überzukochen droht: Was nach Alice im Wunderland klingt, sind nur einige Fähigkeiten der mitdenkenden Wohnung, die 14 Partner aus Wissenschaft, Industrie sowie Sozial- und Gesundheitswesen im Innovationscluster KogniHome entwickelt haben. Das Bundesministerium für Bildung und Forschung (BMBF) hat das Projekt mit acht Millionen Euro bis zum Jahr 2017 gefördert. Das Gesamtvolumen lag bei 11,3 Millionen Euro einschließlich eigener Mittel der Projektpartner.

KogniHome in Daten und Fakten:

Das Ziel:

Eine Wohnung, die die Menschen in ihrem Alltag unterstützt – ausgestattet mit intelligenter, lernender Technik, die einfach durch Sprache oder Gestik bedient werden kann. Gerade die intuitive Steuerung bietet für Senioren und Menschen mit Behinderung eine Chance, länger in den eigenen vier Wänden zu wohnen.

Die achelos-Aufgaben:

achelos hat Teilprojekt „Entwicklung und Umsetzung eines Sicherheitstokens“ geleitet

Basis für die Akzeptanz des KogniHome ist eine authentifizierte und vertrauliche Kommunikation zwischen einzelnen Geräten und Komponenten. Um sichere Kommunikationswege zu gewährleisten, ist es zwingend erforderlich, dass sich die Kommunikationspartner vor Beginn der inhaltlichen Kommunikation gegenseitig identifizieren und authentifizieren.

Ziel des durch achelos geleiteten Teilprojektes, war die Entwicklung eines Sicherheitstokens für den Identifikations- und Authentifizierungsvorgang sowie das Schlüsselmanagement zwischen Geräten und Komponenten in der Wohnung.

achelos bringt Sicherheitsexpertise ein

Das achelos-Team besitzt tiefgreifende Kenntnisse für die ressourceneffiziente und hardwarenahe Umsetzung der im KogniHome relevanten Sicherheitsprozesse. Diese hat achelos bis hin zur Public-Key-Infrastruktur (PKI) komplett definiert. Die vom Fachgebiet Codes und Kryptographie der Universität Paderborn entwickelten kryptographischen Verfahren sowie weitere bekannte Verfahren hat achelos implementiert, angepasst und leitete deren Umsetzung auf geeigneten Hardwareplattformen.

Der Prototyp:

Eine mitdenkende Wohnung fürs Leben

Das Besondere am Projekt KogniHome ist, dass die Wohnung ihren Nutzer ein Leben lang begleiten kann, weil sie von seinen Bedürfnissen und Fähigkeiten lernt. Die Technologien werden unsichtbar in das gewohnte Wohnumfeld integriert. Dabei ist ein einheitlicher Sicherheitsstandard für das Zusammenspiel unterschiedlicher Geräte von verschiedensten Herstellern in Bezug auf die Authentizität und Vertraulichkeit zu gewährleisten. Eine Forschungswohnung ist in einem Gebäude der v. Bodelschwinghschen Stiftungen Bethel in Bielefeld installiert.

Die Partner:

14 Partner aus OWL haben an Wohnung der Zukunft gearbeitet

Das Exzellenzcluster Kognitive Interaktionstechnologie (CITEC) der Universität Bielefeld hat das KogniHome-Projekt geleitet. Neben achelos waren weitere 13 Partner, u. a. der Hausgerätehersteller Miele, die v. Bodelschwinghschen Stiftungen Bethel und das Unternehmen Hella aus Lippstadt, in das Projekt involviert.

Weitere Informationen:
www.kogni-home.de

Pressemitteilung der Universität Bielefeld zum Projektabschluss mit Ergebnissen der Projektpartner

Kontakt:

Dr. Lutz Martiny
Senior Consultant

lutz.martiny@achelos.de
T: +49 5251 14212-310

CogniCrypt-Transferprojekt: Fraunhofer IEM und achelos erhöhen Qualität für sichere Softwareimplementierung

CogniCrypt-Transferprojekt erhöht Qualität für sichere Softwareimplementierung

CogniCrypt ein Werkzeug das Sicherheitslücken frühzeitig in der Softwareentwicklung aufdecken kann und nutzt dazu hochpräzise und effiziente statische Code-Analyse. CogniCrypt ist aus einem langjährigen Forschungsprojekt entstanden und wird aktiv vom Fraunhofer IEM weiterentwickelt. CogniCrypt warnt vor Fehlbenutzungen von Kryptobibliotheken und sichert damit die Softwarequalität. In dem it’s OWL-Transferprojekt haben das Fraunhofer IEM und die achelos GmbH fünf Monate gemeinsamen an der Weiterentwicklung von CogniCrypt gearbeitet. Die Ergebnisse sind in Form eines Wissenstransfers und weiterer Regeln für zusätzliche Kryptobibliotheken in das Open Source Projekt eingeflossen.

CogniCrypt in Daten und Fakten:

Das Eclipse-Plug-in CogniCrypt findet Fehlbenutzungen von Kryptografie direkt
in der Entwicklungsumgebung. (Foto: Copyright: Fraunhofer IEM)

Die Ausgangslage:

Viele Sicherheitslücken in Softwarelösungen sind Fehlimplementierungen von Kryptographie, die häufig mit der großen Anzahl an Verschlüsselungsalgorithmen und deren Konfiguration (Schlüssellänge, Blockmodi oder Padding) zusammenhängen. In der Softwareentwicklung mangelt es oft an Kenntnissen, wann welcher Algorithmus zu wählen ist. Dies führt unweigerlich zu Sicherheitslücken.

Das leistet CogniCrypt:

Statische Code-Analyse prüft sichere Verwendung der Kryptografie

Die statische Code-Analysefunktion von CogniCrypt überprüft während der Entwicklung kontinuierlich den Code auf korrekte Implementierungen. Beim Speichern des Codes im Editor wird im Hintergrund eine statische Analyse ausgelöst und warnt bei falscher Verwendung einer kryptografischen Programmierschnittschelle (API).

Die achelos-Aufgaben:

Ziel des Projektes war es, das Werkzeug CogniCrypt an mehreren Stellen in den Softwareentwicklungsprozess der achelos GmbH zu integrieren. Um Fehlimplementierungen zu vermeiden, hat das Fraunhofer IEM Regeln für die korrekte Benutzung von Softwarebibliotheken spezifiziert. Im Verlauf des Projektes ist CogniCrypt um neue Regeln erweitert worden, um Fehler in der Implementierung anderer Bibliotheken (Bouncy Castle) ebenfalls zu erkennen und Sicherheitslücken frühzeitig zu vermieden. Das Team von achelos besitzt komplexes Wissen in Kryptographie und deren Anwendung  und konnte sich durch kontinuierliches Feedback in die Weiterentwicklung von CogniCrypt einbringen.

Über CogniCrypt:

Im Rahmen des Sonderforschungsbereichs CROSSING der Technischen Universität Darmstadt und in Zusammenarbeit mit dem Heinz Nixdorf Institut der Universität Paderborn wurde das Werkzeug CogniCrypt entwickelt. Es erlaubt Unternehmen im Bereich Sicherheit und Kryptografie, sicherheitskritische Fehlbenutzungen kryptografischer Bibliotheken schnell und zuverlässig zu identifizieren und zu beheben, sowie außerdem vollautomatisch sicheren Krypto-Integrationscode für verschiedene gängige Nutzungsszenarien zu generieren. Mit Unterstützung des Fraunhofer IEM wurde CogniCrypt bis zur Marktreife weiterentwickelt und lässt sich in die Entwicklungsumgebung Eclipse einbinden.

www.eclipse.org/cognicrypt

Die Partner:

Über das Fraunhofer IEM:

Das Fraunhofer-Institut für Entwurfstechnik Mechatronik IEM bietet am Standort Paderborn Expertise für intelligente Mechatronik im Kontext Industrie 4.0. Wissenschaftlerinnen und Wissenschaftler aus den Bereichen Maschinenbau, Softwaretechnik und Elektrotechnik arbeiten fachübergreifend zusammen und erforschen innovative Methoden und Werkzeuge für die Entwicklung von intelligenten Produkten, Produktionssystemen und Dienstleistungen.

www.iem.fraunhofer.de

Über das Technologie-Netzwerk it’s OWL

Im Technologie-Netzwerk it‘s OWL – Intelligente Technische Systeme OstWestfalenLippe entwickeln über 200 Unternehmen, Forschungseinrichtungen und Organisationen Lösungen für intelligente Produkte und Produktionsverfahren. Mit Unterstützung des Landes Nordrhein-Westfalen werden dazu in der Zeit von 2018 bis 2022 Projekte im Umfang von 100 Millionen Euro umgesetzt. Themenschwerpunkte sind künstliche Intelligenz, digitale Plattformen, digitaler Zwilling und Arbeit 4.0. Ausgezeichnet im Spitzencluster-Wettbewerb der Bundesregierung, gilt it‘s OWL als eine der größten Initiativen für Industrie 4.0 im Mittelstand.

www.its-owl.de

Weitere Informationen:

www.eclipse.org/cognicrypt

Pressemitteilung Projektabschluss

Interview mit Thomas Freitag:

Mehr als Forschung für Erfolgsgeschichten Fraunhofer IEM

Kontakt:

Thomas Freitag
Geschäftsführer

thomas.freitag@achelos.de
T: +49 5251 14212-304

Energieeffizienz als Treiber neuer Geschäftsmodelle

achelos: Sicherheit und Wirtschaftlichkeit durch regelkonforme Implementierung

Smart-Home-Technologien werden in Zukunft Leben und Wirtschaften in Gebäuden verändern. Neue Anwendungsfelder für Soft- und Hardware versprechen spannende Gestaltungsinhalte für Vermieter, Mieter und Selbstnutzer von Gebäuden.

„green with IT“ in Daten und Fakten:

Das Ziel:

Im green with IT Netzwerk wird achelos mit innovativen Anwendungspartnern aus der Wohnungs- und Gebäudewirtschaft im Rahmen definierter Pilotversuche die Einführung von Smart-Meter-Gateways und Public-Key-Infrastrukturen, sowie die Erweiterung des Einsatzes auf die Messung von Wasser- und Wärmeverbrauch prüfen und ggf. umsetzen. Die Ergebnisse werden veröffentlicht, damit möglichst viele disruptive Anwendungen entstehen und über attraktive Preise zu großer Verbreitung führen.

Die Technologie:

Schlüsselrolle für das Smart-Meter-Gateway
Das Smart-Meter-Gateway ist die zentrale Kommunikationseinheit intelligenter Messsysteme in der Energiewirtschaft. Es wird nach den Vorgaben des BSI entwickelt.

Das BSI hütet die Technischen Richtlinien

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Schutzprofile und Technische Richtlinien erarbeitet (TR 03109). Sie sind verbindlich nach dem Messstellenbetriebsgesetz (MsbG) und gewährleisten Datenschutz, Datensicherheit und Interoperabilität intelligenter Messsysteme nach dem jeweiligen Stand der Technik. Enthalten sind u. a. die Mindestanforderungen an:

• intelligente Messsysteme (§ 21)
• das Smart-Meter-Gateway (§ 22)
• die sichere Anbindung an das Smart-Meter-Gateway (§ 23)
• die Zertifizierung des Smart-Meter-Gateway nach Common Criteria (§ 24)
• die Zertifizierung des Smart-Meter-Gateway-Administrators (§ 25)

Das BSI ist dabei als Behörde für ein einheitliches Sicherheitsniveau sowie die Interoperabilität verantwortlich und übernimmt die permanente Weiterentwicklung der Dokumentation. Es ergreift die Initiative zur Neufassung und Überarbeitung bestehender Schutzprofile und Technischer Richtlinien, bei möglichen neuen oder durch technischen Fortschritt bedingten Bedrohungsszenarien sowie weiteren Anwendungsfällen (z. B. dem Smart Home).

Die achelos-Aufgaben:

Sicherheit und Wirtschaftlichkeit durch regelkonforme Implementierung

achelos unterstützt das Management der Wohnungs- und Energiewirtschaft bei der Make-or-buy-Entscheidung zur Einführung von Smart Meter Gateways und Public-Key-Infrastrukturen sowie bei der Implementierung.

Sicherheit für zukünftige IoT-Anwendungen im wohnungswirtschaftlichen Alltag durch:

• Definition von Sicherheitsanforderungen gem. ISO 27001 und BSI-Grundschutz
• Konzeption der IT-Sicherheitspolitik, deren Strategien und Richtlinien
• Erstellung des IT-Sicherheitskonzepts
• Entwurf der IT-Sicherheitsarchitektur
• Entwicklung des Fachkonzepts IT-Sicherheitsorganisation und erforderlicher Prozesse
• Analyse verbleibender Risiken
• Definition des Back-up- und des Notfallkonzepts
• Vorbereitung bzw. Unterstützung der CC-Evaluierung und CC-Zertifizierung
• Erstellung anforderungskonformer Dokumentation

Die Partner:

Neben elf weiteren Mitgliedern ist achelos aktives Mitglied im Verein green with IT.

Weitere Informationen:

www.green-with-it.com

Kontakt:

Dr. Lutz Martiny
Senior Consultant

lutz.martiny.ext@achelos.de
T: +49 5251 14212-310

Systemintegrität für Selbstbedienungssysteme (SiS)

SiS in Daten und Fakten:

Das Ziel:

achelos als Experte für Chipkartentechnologie und Sicherheitsprozesse involviert

Ziel des Projektes war es, den Schutz von Geldausgabeautomaten als zentrales Selbstbedienungssystem zu verbessern. Die Projektpartner haben ein ganzheitliches Konzept zur Sicherstellung der Integrität und somit der Unversehrtheit eines Geldausgabeautomaten in Bezug auf Hard- und Software erarbeitet. Zum Einsatz kommen neue identitätsbasierte kryptographische Verfahren, die die Verifikation der Software- und Hardwareintegrität erlauben. achelos hat in diesen Bereich das Projekt aktiv unterstützt und war als Experte für Chipkartentechnologie und Sicherheitsprozesse in das Projekt involviert.

Die achelos-Aufgaben:

• Analyse bestehender Sicherheitsprozesse
• Definition adaptierter Sicherheitsprozesse
• Prototypische Umsetzung

Die Partner:

Vier Paderborner Unternehmen sind gemeinsam im Verbundprojekt zur IT-Sicherheitsforschung tätig.

Das Bundesministerium für Bildung und Forschung hat das SiS-Verbundprojekt zur Entwicklung eines Security Tokens zur Sicherstellung der Systemintegrität in Selbstbedienungsautomaten gefördert. Beteiligt an dem Projekt mit einem Gesamtvolumen von mehr als zwei Millionen Euro waren neben achelos die Universität Paderborn, Wincor Nixdorf International GmbH und Morpho Cards GmbH.

Weitere Informationen:

31.08.2011 | Mitteilung Institut für Informatik

Besserer Schutz für Geldautomaten – Institut für Informatik sichert Systemintegrität für Selbstbedienungssysteme

Im Jahr 2013 konnten die Projektpartner ihren Abschlussbericht vorlegen.

Kontakt:

Marcel Schriegel
Senior Consultant
marcel.schriegel@achelos.de
T: +49 5251 14212-312