DARPA macht Fortschritte bei der Entwicklung von Zero-Knowledge-Proofs für die Offenlegung von Sicherheitslücken

Cyber Security News

Der ehemalige Direktor der DARPA, Arati Prabhakar, steht mit anderen auf der Bühne während der Veranstaltung “What Are They Thinking? Man Meets Machine” auf dem Vanity Fair New Establishment Summit in San Francisco, Kalifornien. Die Forschungs- und Entwicklungsabteilung des Verteidigungsministeriums hat erfolgreich eine begrenzte Anzahl von Anwendungsfällen für die Anwendung von Zero-Knowledge-Proofs auf den Prozess der Offenlegung von Software-Schwachstellen demonstriert. (Foto von Mike Windle/Getty Images für Vanity Fair)

Es gibt nur wenige Beziehungen im Bereich der Cybersicherheit, die heikler sind als die zwischen einem Sicherheitsforscher, der eine Schwachstelle in kommerzieller Software oder Hardware entdeckt, und dem Unternehmen, das er benachrichtigt.

Das Unternehmen kümmert sich vielleicht nicht um die Schwachstelle oder ihre Auswirkungen auf die Kunden, oder es spielt den Schweregrad herunter, um Zahlungen zu vermeiden, versäumt es, Patches zu priorisieren oder geht einfach mit rechtlichen Drohungen gegen den Forscher vor. Der Forscher könnte versuchen, das Unternehmen zu erpressen, oder das Schadenspotenzial bestreiten oder einfach glauben, dass eine rechtzeitige öffentliche Bekanntgabe das Unternehmen dazu veranlasst, einen schnelleren Patch zu entwickeln, um die Endbenutzer zu schützen.

Obwohl die Cybersicherheits-Community und die Industrie einige dieser Probleme durch koordinierte Richtlinien zur Offenlegung von Schwachstellen angegangen sind, gibt es immer noch eine Menge Unstimmigkeiten und ungleiche Anreize, die zu Misstrauen zwischen den beiden Parteien führen können. Eines der kniffligeren Probleme ist die Frage, wie man einen Fehler auf ethische Weise einer breiten Öffentlichkeit bekannt macht und Druck auf ein Unternehmen ausübt, ohne technische Informationen preiszugeben, die es böswilligen Hackern ermöglichen könnten, den Fehler auszunutzen, bevor ein Patch verfügbar ist.

Hier kommt die DARPA ins Spiel.

Die Forschungs- und Entwicklungsabteilung des Verteidigungsministeriums hat erfolgreich eine begrenzte Anzahl von Anwendungsfällen für die Anwendung von Zero-Knowledge-Proofs auf den Prozess der Offenlegung von Software-Schwachstellen demonstriert. Ein Zero-Knowledge-Proof ist ein kryptografisches Protokoll, das es einer Partei erlaubt, mathematische Beweise zu erstellen, um einer anderen Partei zu zeigen, dass sie eine Frage beantworten kann, ohne ihre zugrunde liegende Arbeit zeigen zu müssen. In diesem Fall würde es einem Sicherheitsforscher erlauben, zu beweisen, dass die Schwachstelle ausgenutzt werden kann, ohne einen Proof-of-Concept-Exploit zeigen zu müssen, der bösen Akteuren eine Roadmap liefern könnte.

Josh Baron, Programm-Manager für das DARPA-Programm “Securing Information for Encrypted Verification and Evaluation” (SIEVE), sagte gegenüber SC Media, dass solche Beweise in der Vergangenheit nur sehr begrenzt Anwendung gefunden haben. Forscher wissen seit den 1980er Jahren, dass es theoretisch möglich ist, einen Zero-Knowledge-Beweis für fast jeden denkbaren interaktiven Austausch zu entwickeln, aber erst seit der Kryptowährungsrevolution ist eine Reihe praktischerer Methoden in den Fokus gerückt.

Tatsächlich schrieb Baron die Arbeit der Kryptowährungs-Community an der Entwicklung effizienterer Zero-Knowledge-Beweise, insbesondere ein Papier mit dem Namen “Snarks for C”, gut, um die DARPA-Forscher zu inspirieren, Ideen für ähnliche Anwendungen in anderen Bereichen zu erforschen, die nicht unbedingt mit der Blockchain verbunden sind.

“Sie nehmen ein Problem in der realen Welt, Sie formalisieren es mathematisch, Sie herausfinden, wie man es in das relevante Format zu transformieren … und dann geben Sie die Null-Wissen-Beweis,” erklärte Baron.

So funktioniert es: Stellen Sie sich einen Graphen mit einer Anzahl von verschiedenen Punkten vor. Zwischen jedem gibt es Linien und jedem Punkt ist eine Farbe zugeordnet: rot, gelb oder grün. Die Frage, um die es geht, ist, ob Sie jemandem schlüssig beweisen können, dass jeder Punkt eine andere Farbe hat als seine Nachbarpunkte, ohne ihm den Graphen zu zeigen.

Die Antwort ist ja. Es ist möglich, viele der relevanten Informationen über diese Punkte, ihre Farben und ihre Beziehung zueinander in numerische Werte oder Gleichungen zu übersetzen, die berechnet werden können, ohne dass man den ursprünglichen Graphen jemals zu Gesicht bekommt. Dasselbe grundlegende Modell kann erweitert und auf viele andere Situationen angewandt werden, normalerweise mit viel mehr “Punkten” oder relevanten Variablen, die auf vorhersehbare Weise miteinander interagieren – wie verschiedene Teile eines Softwaresystems -, um die gleichen mathematischen Gewissheiten zu emulieren.

“Ich könnte Software als eine boolesche Schaltung beschreiben, deren Ausgang entweder Null oder Eins ist”, sagte Baron. “Stellen Sie sich vor, ich habe eine sinnvolle Ausnutzung dieses Systems und wenn ja, ist der Ausgang der Schaltung eins, ansonsten ist er null. Was ich eigentlich beweise, ist, dass ich einen solchen Eingang habe, ohne zu verraten, was dieser Eingang eigentlich ist.”

Das reale Problem, das die DARPA in diesem Fall angehen wollte, besteht darin, einen Weg zu finden, wie Sicherheitsforscher die Öffentlichkeit auf eine bestehende Software-Schwachstelle aufmerksam machen können, ohne sich auf den guten Willen des Gastgebers verlassen zu müssen oder zu riskieren, böswillige Hacker zu verraten. Letztes Jahr hat die DARPA eine Ausschreibung für externe Forschungsvorschläge veröffentlicht, und zwei Unternehmen – Galois und Trail of Bits – haben das Framework bereits genutzt, um eigene Zero Knowledge Proofs zu erstellen.

Galois war in der Lage, einen Beweis für eine zuvor bekannt gewordene Speicher-Sicherheitslücke in einer Game Boy Advance-Konsole zu entwickeln. Noch wichtiger ist, dass sie in der Lage waren, diesen Beweis zu verwenden, um eine andere Partei in etwa acht Minuten von der Existenz der Schwachstelle zu überzeugen. Trail of Bits entwickelte ein neuartiges Modell, das auf booleschen Schaltkreisen basiert und es den Forschern ermöglicht, eine binäre Imitation von Systemen auf Architekturebene zu erstellen – im Wesentlichen eine Ja/Nein-Antwort darauf, ob es ausgenutzt oder durch Stack- und Heap-Überläufe, Code-Injektion, Format-String-Schwachstellen und Speicherumgehungsfehler beeinträchtigt wurde.

Im Moment kratzen diese Anwendungsfälle nur an der Oberfläche und beschränken sich auf eine kleine Handvoll grundlegender IT-Hardware-Produkte und Software-Schwachstellen. Es stellt sich auch die Frage, wie genau ein bestimmtes Modell auf das reale Gegenstück passt. Die Entwicklung besserer Modelle, die auf den Schwachstellenprozess im Allgemeinen anwendbar sind, wird “eine Größenordnung mehr an Komplexität” erfordern, aber die DARPA glaubt, dass es nur eine Frage der Zeit ist, bis sie viel breiter eingesetzt werden können, sowohl im Prozess der Offenlegung von Schwachstellen als auch in anderen Bereichen der Forschung.

Das größte Hindernis für eine breitere Akzeptanz liegt nicht in den technischen Details. Es geht darum, einen Weg zu finden, den komplexen mathematischen Prozess und den Jargon hinter solchen Beweisen auf eine Art und Weise zu übersetzen, die keinen fortgeschrittenen Mathematikabschluss erfordert, um sie zu verstehen. Schließlich bringt es nichts, sich die ganze Arbeit zu machen, einen genauen Null-Wissen-Beweis zu entwickeln, wenn die Person oder Organisation, die man zu überzeugen versucht, nicht weiß, was das ist, oder warum es bedeutet, dass sie einem glauben muss. Baron sagte, die häufigste Reaktion, die er bekommt, wenn er Laien dieses Projekt beschreibt, ist extreme Skepsis, dass es überhaupt wissenschaftlich möglich ist.

“Wir müssen die Leute dazu bringen, zu verstehen, was zum Teufel wir da überhaupt machen”, sagte er. “Sie müssen den mathematischen Beweis sehen und sich damit wohlfühlen, selbst wenn die Technik gut ist, wird es eine Diskussion darüber geben, wie man den Leuten klar machen kann, was wir tun können.”

Einige Teile dieses Artikels stammen aus:
www.scmagazine.com