Schwachstellenanalyse für Embedded-Systeme „Fuzzware“ belegt zweiten Platz beim deutschen IT-Sicherheitspreis

Anbieter zum Thema

Bitkom e.V.

MicroConsult Academy GmbH

emlix GmbH

Parasoft® Deutschland GmbH

Eine automatisierte Lösung für umfassende Firmware-Tests ohne physisches Test-Setup hat beim 10. IT-Sicherheitspreis des Branchenverbands Bitkom den zweiten Preis belegt. Der Hauptpreis von 100.000 Euro ging an ein Generierungstool für effizienten kryptographischen Code.

Die Gewinner des 10. IT-Sicherheitspreises stehen fest. Dabei belegte ein insbesondere für Entwickler von Embedded-Systeme spannendes Konzept den zweiten Platz: Fuzzware, eine Lösung zur automatisierten Prüfung der Sicherheit und Robustheit eingebetteter Systeme.

„Fuzz-what-you-ship“: Fuzzware Version 1.0.0 öffentlich einsehbar

Die auch bereits akademisch ausgezeichnete Lösung wurde von Tobias Scharnowski und Simon Wörner (Helmholtz-Zentrum für Informationssicherheit) sowie Johannes Willbold vom Horst-Görtz-Institut für IT-Sicherheit der Ruhr-Universität Bonn (RUB/HGI) entwickelt. „Fuzzware“ verfolgt einen „Fuzz-what-you-ship“-Ansatz. Dabei modelliert die Software die Hardwareumgebung der zu testenden Firmware automatisch, sodass Entwickler direkt und ohne zusätzliche Hardware prüfen können, wie sicher und robust ihre Systeme tatsächlich sind. Dies ermöglicht eine flexible und skalierbare Sicherheitsanalyse und eröffnet neue Möglichkeiten für die Qualitätssicherung von Embedded-Software. Die Methode hilft nicht nur, Sicherheitslücken frühzeitig zu erkennen, sondern verbessert auch die Reaktionsfähigkeit auf potenzielle Bedrohungen.

„Fuzzware“ konnte nicht nur die Jury des IT-Sicherheitspreises überzeugen, sondern findet auch bereits in der Industrie Einsatz. Die Lösung wird bereits bei Echtzeit-Betriebssystemen, Connectivity-Firmware oder der Prüfung von Firmware für vernetzte IoT-Geräte eingesetzt. Auch ein namentlich nicht näher genannter Chiphersteller hat „Fuzzware“ bereits für seine Entwicklungen beauftragt, um die Zuverlässigkeit seiner Produkte für den Einsatz im Embedded-Systemen zu erhöhen.

Nähere Informationen zu Fuzzware gibt es auf der Webseite Fuzzware.io. Version 1.0.0 von Fuzzware steht auf einem Github-Repository unter der Apache-2.0-Lizenz zur Verfügung. In einem weiteren Archiv hat das Team zudem eine Reihe reproduzierbarer Experimente für die Fuzzing-Methode zur öffentlichen Einsicht abgelegt.

100.000 Euro Preisgeld für die automatische Generierung von kryptographischem Code

Den ersten Preis des IT-Sicherheitspreises, der von der Horst Görtz Stiftung verliehen wird, erhielt das Projekt „CryptOpt“, das eine besonders leistungsstarke Lösung für kryptographische Anwendungen bietet. „CryptOpt“ generiert automatisch sicheren Code und gewährleistet durch Korrektheitsnachweis hohe Zuverlässigkeit, was es für sicherheitskritische Applikationen unverzichtbar macht. Die Technologie findet bereits Anwendung in Google Chrome und Chromium-basierten Browsern und bietet Millionen von Nutzern weltweit eine verbesserte Sicherheit.

Der dritte Platz ging an das Projekt zur Entwicklung einer modularen Plattform für Cyber Security Analytics, die speziell für den Einsatz in Security Operations Centers (SOC) entwickelt wurde. Diese Plattform ermöglicht eine dezentrale Datenspeicherung, die schnelle Integration neuer Bedrohungsdaten und optimiert die Erkennung und Abwehr von Cyberangriffen. Durch die offene Architektur und die hohe Skalierbarkeit bietet sie SOC-Analysten flexible Werkzeuge, um Sicherheitsvorfälle effizienter zu managen.

Der IT-Sicherheitspreis wurde dieses Jahr im Rahmen der 3. Innovationskonferenz Cybersicherheit in Darmstadt verliehen, die vom Nationalen Forschungszentrum ATHENE und dem Digitalverband Bitkom organisiert wurde. Der seit 2006 von der Horst Görtz Stiftung vergebene Fachpreis zählt zu den renommiertesten Auszeichnungen der deutschen IT-Security-Branche. Mit ihm sollen Sicherheitskonzepte und Lösungen „Made in Germany“ gefördert werden.

Stabilitätstests

Mit Robutstheitsstests und Testautomatisierung zu zuverlässigen Softwaresystemen

Fuzzing von Embedded Software – Grundlagen und Erfahrungen

Ist modernes Fuzzing die Zukunft von DevSecOps?

(sg)

(ID:50232706)