Code-Check-Tools: Das Ende aller Sicherheitslücken?

Durch die großen Herausforderungen im Bereich der Softwaresicherheit erfreuten sich sogenannte Code-Check-Tools in den letzten Jahren immer größerer Beliebtheit. Diese Tools prüfen Sourcecode schon im Vorfeld auf Sicherheitslücken und markieren problematische Codesequenzen.

Um der zahllosen Sicherheitslücken in seinen Windows-Betriebssystemen Herr zu werden, hat Microsoft 1999 Intrinsa, einen Hersteller solcher Tools, für 60 Millionen Dollar übernommen. Inzwischen buhlen eine Hand voll anderer Produzenten um die Gunst der Kunden.

Aufgeschreckt durch die großen Wurm-Epidemien wollen Unternehmen zunehmend in Tools investieren, um sich künftig besser gegen Angriffe aus dem Internet zu schützen. Unternehmen wie Sanctum, Hersteller eines Code-Checkers für Webapplikationen, versprechen sich ein boomendes Geschäft.

„Unternehmen, die auch im Internet tätig sind, können es sich nicht länger leisten, auf Software zu setzen, die voller Sicherheitslöcher ist“, so Fortify-Gründer Mike Armistead. Das Unternehmen ist ebenfalls in diesem Bereich tätig.

Experten befürchten, dass Entwickler irgendwann die juristische Verantwortung für Sicherheitslücken in ihren Produkten übernehmen müssen, insbesondere dann, wenn Tools auf dem Markt sind, um diese zu verhindern. „Für die Zukunft wünscht man sich, dass alle Entwickler diese Tools nutzen, um ihre Codes zu checken“, so David Evans von der University of Virginia. „Es ist für die Industrie wirklich kein Renommee, dass immer noch Software mit Buffer Overflows produziert wird.“

Obwohl bereits seit mindestens drei Jahrzehnten bekannt, sind Buffer Overflows nach wie vor der häufigste Grund für Sicherheitslücken. Dadurch wurden auch Wurm-Epidemien wie MS Blaster und Sasser ermöglicht.

Beobachter sehen den Einsatz der Tools jedoch mit Skepsis. Der Sicherheits-Experte Dave Aitel beispielsweise hält den aktuellen Entwicklungsstand der Software noch nicht für ausreichend. Zu oft würden Code-Sequenzen markiert, die gar nicht fehlerhaft sind. Dies wirke sich negativ auf die Produktivität der Entwickler aus und mache den eigentlich gewonnenen Zeitvorteil wieder zunichte.

An der grundsätzlichen Notwendigkeit solcher Tools lässt jedoch auch Aitel keinen Zweifel. „Der meiste Code steckt voller einfacher Bugs. Viele große Unternehmen führen überhaupt keine Prüfungen durch.“

Die Hersteller von Code-Checking-Tools prognostizieren einen Paradigmenwechsel. Künftig würden Unternehmen den Einsatz von unsicherer Software nicht mehr akzeptieren. Sicherheit werde mehr und mehr zur Grundvoraussetzung.