Handvare krypto-detektorer giver en falsk følelse af datasikkerhed

Datasikkerheden er afhængig af brugen af ​​korrekt, veludført kryptografi - videnskaben og kunsten at konstruere algoritmer, der gør information sikker mod nysgerrige og muligvis ondsindede øjne.

"Kryptografi etablerer egenskaber som fortrolighed af information og integritet af information," sagde Amit Seal Ami. "De er baseret på meget strenge matematiske principper. Ofte er softwareingeniører eller programmører afhængige af applikationsprogrammeringsgrænseflader - lidt ligesom forudbyggede programmer - som de bruger til at forsøge at opnå disse egenskaber i applikationer."

Han forklarede, at udvikleres afhængighed af disse standard-en-størrelse-pas-mange Application Programming Interfaces eller API'er ofte resulterer i en afvigelse fra sunde kryptografiske principper – og derfor fører til, at fortrolige data er modne til eksponering.

"Så det er som om, de prøver at gøre de rigtige ting, men de gør det på en forkert måde," forklarede Ami. "Det er det, misbrug handler om. Så har vi krypto-API misbrugsdetektorer, som er analyseværktøjer, der hjælper os med at finde sådan misbrug i software. Disse kryptodetektorer kan dog have fejl. Og hvis vi ikke kender til disse fejl , vi har en falsk følelse af sikkerhed."

Ami er ph.d. kandidat i William &Mary's Department of Computer Science, og hovedstuderende forfatter af papiret "Why Crypto-detectors Fail:A Systematic Evaluation of Cryptographic Misuse Detection Techniques", som han præsenterede på det 43. symposium om sikkerhed og privatliv ved Institut for Elektriske og elektronikingeniører (IEEE).

Medforfattere på papiret omfatter Amis rådgivere, Adwait Nadkarni og Denys Poshyvanyk, begge fakulteter i William &Mary Computer Science-afdelingen, og en trio af nuværende og tidligere CS Ph.D. studerende:Nathan Cooper, Kaushal Kafle og Kevin Moran.

Ami, der blev udvalgt som 2022 Commonwealth of Virginia Engineering and Science (COVES) Fellow og blev tildelt Commonwealth of Virginia, Commonwealth Cyber ​​Initiative (CoVA-CCI) Dissertation Fellowship samme år, siger den nuværende tilstand af krypto-API-detektorer omfatter en foruroligende stor mængde fejl.

"Det, vi forsøger at gøre, er at hjælpe folk med at lave bedre detektorer - det vil sige detektorer, der kan opdage misbrug i praksis," forklarede Ami.

Samarbejdspartnerne satte sig for at undersøge fejlene i krypto-API-detektorer, der har til opgave at overvåge og rette sikkerhedssvagheder på grund af misbrug af krypto-API. De etablerede en ramme, de kalder MASC for at evaluere, hvor godt en række krypto-API-detektorer fungerer i praksis.

"Det, vi gør først, er at se på, hvad vi ved om misbruget i første omgang - måderne, hvorpå krypto-API'er bruges og misbruges," sagde Ami. "Men hvad er de andre måder, de kan misbruges på?"

Ved hjælp af MASC tager samarbejdspartnerne de kendte og etablerede sårbarheder og justerer dem, hvilket skaber mutationer. Derefter, sagde Ami, studerer de disse mutationer ved hjælp af de detektorer, der evalueres.

"Og så prøver vi at se, om detektorerne kan finde de muterede eller ændrede tilfælde af misbrug," sagde han. "Og når de ikke kan, ved vi, at der er noget galt der."

MASC-rammen afslørede fejl i detektorerne:"Nogle af de sårbarheder, der blev savnet af detektorer, var noget indlysende," sagde Ami. "Men nogle var meget tydelige.", dvs., som detektorerne skulle have fanget.

Samarbejdspartnerne gik tilbage til udviklerne af de defekte detektorer for at diskutere hvorfor og hvordan fejlproblemet. Ami sagde, at de fandt forskelle i perspektiver. Nogle af udviklerne fokuserede på teknik og arbejdede hen imod et resultat baseret på sikkerhedsstandarder.

"Det, vi på den anden side gjorde, er at se på disse værktøjer fra et fjendtligt perspektiv," sagde han. "For når folk forsøger at udnytte fejlene, vil de ikke være søde ved det."

Gruppen går ind for et paradigmeskift:at udviklere opgiver deres teknik-centrerede tilgang til fordel for en mere sikkerhedsfokuseret tilgang.

"Det er det, vi gerne vil bidrage med," sagde Ami. "Alle disse detektorer, når de udvikles, bør gennemgå en fjendtlig gennemgang tilgang, så udviklerne kan gøre deres værktøjer mere pålidelige ved at vedtage vores tilgang." + Udforsk yderligere

Ny teori for detektion af terahertz elektromagnetiske bølger giver håb om fremskridt inden for IT og medicin