Sorgen Analyse-Tools für wurmresistente Software?

Die entscheidende Veränderung besteht in der Tatsache, dass Unternehmen, die das Internet nutzen, sich nicht länger blind auf eine Software voller Bugs verlassen können, so Mike Armistead, Gründer und Vice President of Marketing des Herstellers von Code-Analyse-Tools Fortify Software.

„Alles ist inzwischen miteinander vernetzt, was einen enormen Produktivitätsschub ausgelöst hat, aber niemand hat daran gedacht, dass so auch viele Unbefugte Zugang erlangen würden.“

Obwohl Entwickler auch heute ihre Software auf Fehler untersuchen, sind die Tests normalerweise so strukturiert, dass sie nur feststellen, ob die Software ordnungsgemäß funktioniert, statt zu überprüfen, ob eine absichtlich falsche Bedienung zu fehlerhaften Reaktionen der Software führen kann.

„Die Software-Entwickler sagen sich, dass die sowieso nicht alles finden und halten dies für akzeptabel, denn in der Branche ist es gängige Praxis, Produkte auszuliefern und darauf zu bauen, dass die Anwender schon mitteilen werden, was nicht funktioniert“, so Armistead.

Nicht alle Sicherheitsfachleute machen allerdings die von ihnen gefundenen Fehler auch bekannt. Viele von ihnen sind sogar der Meinung, dass Entwickler für nicht gefundene Software-Bugs rechtlich haftbar gemacht werden sollten, besonders wenn Tools zur Verfügung stehen, um solche Fehler zu entdecken.

„Letztliches Ziel wird sein, dass alle Entwickler diese Tools gleich in ihre Compiler einbauen“, sagte David Evans, Assistant Professor for Computer Science an der University of Virginia und Erfinder eines Code-Analyse-Tools namens Splint. „Es ist schon peinlich für die Branche, dass immer noch Code geschrieben wird, der Buffer Overflows erzeugt.“

Buffer Overflows sind ein weit verbreiteter Speicherfehler, der es Online-Angreifern erlaubt, bösartigen Code auf anderer Leute Computer auszuführen. Die Würmer MSBlast und Sasser nutzen beide Buffer Overflows im Microsoft-Betriebssystem Windows aus, um sich über das Internet zu verbreiten. Dabei sind Buffer Overflows nichts Neues: Sicherheitsfachleute kennen sie bereits seit drei Jahrzehnten.