Neuartige Verfahren zum Schutz vor Side-Channel-Angriffen

Seitenkanalangriffe sind eine besonders trickreiche Form von Cyberangriffen. Sie sind meist sehr unauffällig und werden selten bemerkt – auch, weil es in vielen Unternehmen an Expertise mangelt. Seitenkanalangriffe oder Side-channel attacks heissen so, weil die zu schützenden Daten oder Algorithmen nicht auf direktem Weg angegriffen werden. Die Angriffsmethode sucht vielmehr nach unbeachteten Nebenzugängen, um die Schutzmechanismen eines IT-Systems zu umgehen. Hierbei macht sie sich bestimmte physikalische oder logische Effekte der Hardware- und Softwareplattform des IT-Systems zunutze, um ihm durch Beobachtung und Analyse die eigentlich stark geschützten Informationen zu entlocken. So lässt zum Beispiel der Stromverbrauch auf die aktuelle Rechenleistung und die durchgeführten Operationen eines Prozessors schliessen. Andere Angriffsmethoden messen die Zeitdauer, die ein Prozess für die Ausführung einer bestimmten Aktion benötigt. Auf diese Weise kann die angreifende Software Rückschlüsse ziehen auf verwendete geheime Parameter des angegriffenen Prozesses. Besonders kritisch sind solche Informationslecks, wenn Verschlüsselungssoftware angegriffen wird und die geheimen oder privaten Schlüssel entwendet werden können.

Mit dem Projekt DevToSCA wollen die Hochschule Bonn-Rhein-Sieg und ihre Projektpartner Software-Entwickler befähigen, die eigenen Software-Produkte automatisiert auf ihre Seitenkanalresistenz zu überprüfen. Die Projektpartner in diesem vom Bundesministerium für Bildung und Forschung (BMBF) geförderten Projekt sind neben der H-BRS die Ruhr-Universität Bochum, Kasper & Oswald aus Bochum sowie die Rohde & Schwarz Cybersecurity. Die Partner entwickeln dazu symbolische und statistische Verifikationswerkzeuge zur Seitenkanalanalyse. Damit sollen Anwender auch in die Lage versetzt werden, ihre bereits installierten Software-Produkte – etwa im Rahmen von Selbsttests – im Hinblick auf ihre Seitenkanaleigenschaften zu überprüfen.

Eine wesentliche Neuheit der Lösungsstrategie des DevToSCA-Projekts besteht darin, dass die Verifikationswerkzeuge speziell für die Anwendung durch Softwareentwickler ohne Expertenwissen zu Seitenkanalanalysen ausgestaltet werden soll. Dadurch wird diese Nutzergruppe befähigt, eigene Softwareprodukte – auch für sicherheitskritische Anwendungen und Prozesse – eigenständig zu prüfen.

Institutsleiterin Professorin Kerstin Lemke-Rust: "Mit den Erkenntnissen aus dem Projekt werden wir einem breiten Spektrum an Unternehmen und Softwareentwicklern die eigenständige Entwicklung von Softwareprodukten auf einem hohen Sicherheitsniveau ermöglichen. Dies kommt der gesamten Wirtschaft zugute."

Die H-BRS und ihre Projektpartner wollen die im DevToSCA-Projekt erarbeiteten Werkzeuge für Softwareentwickler als Open-Source-Software zur Verfügung stellen.