Ghidra: NSA veröffentlicht kostenloses Reverse-Engineering-Toolkit

Der US-Auslandsgeheimdienst National Security Agency (NSA) hat auf der Sicherheitskonferenz RSA ein kostenloses Werkzeug namens Ghidra für das Reverse Engineering von Software veröffentlicht. Intern setzt die Behörde das Tool offenbar schon seit mehr als zehn Jahren ein. Nun steht es auch Software-Entwicklern zur Verfügung. Davon profitieren sollen aber auch Sicherheitsforscher, die Schadsoftware analysieren.

Die Veröffentlichung von Ghidra soll darüber hinaus Sicherheitsforschern die Möglichkeit geben, sich mit dem Tool vertraut zu machen, bevor sie sich bei der NSA oder einem anderen Geheimdienst bewerben, der zuvor bereits Zugang zu der Software hatte. Derzeit ist Ghidra nur über seine offizielle Website verfügbar. Die NSA kündigte jedoch an, den Quellcode des Tools unter einer Open-Source-Lizenz auf GitHub bereitzustellen.

Mit der Veröffentlichung von Ghidra setzt die NSA ihre Ankündigung von Anfang Januar um. Seitdem wird das Tool von einigen Entwicklern sehnsüchtig erwartet. Grund dafür ist, dass Ghidra als Alternative zu IDA Pro angesehen werden muss. Das Reverse-Engineering-Tool ist jedoch nicht kostenlos, sondern nur mit einer kommerziellen Lizenz erhältlich, deren Preis bei mehreren tausend Dollar pro Jahr liegt. Es wird nun erwartet, dass Ghidra dem bisherigen Platzhirschen IDA Pro zügig Marktanteile abnehmen wird, zumal Tester dem Tool eine gute Bedienbarkeit bescheinigen.

Ghidra selbst ist eine Java-Anwendung mit einer grafischen Benutzeroberfläche. Es liegt für Windows, macOS und Linux vor. Laut Rob Joyce, Senior Advisor bei der NSA, kann Ghidra Binärdateien für eine Vielzahl von Architekturen analysieren. Unter anderem liegen Prozessormodule für x86 16-, 32- und 64-Bit, ARM64, PowerPC 32/64, RISC, Sparc, Z80, 68xxx, 6502m, 8051 und MSP430 vor. Einzige Voraussetzung ist eine Version des Java Development Kit 11, das wiederum für die grafische Oberfläche benötigt wird. Zudem wird das Tool nicht installiert, sondern einfach nur in ein beliebiges Verzeichnis extrahiert. Laut NSA greift es nicht in die Konfiguration eines Betriebssystems oder beispielsweise die Windows-Registry ein.

Darüber hinaus bietet die NSA eine umfangreiche Dokumentation für Ghidra an. Darin enthalten ist auch eine Anleitung für den Umstieg von IDA Pro auf Ghidra. Selbst eine Liste mit verfügbaren Tastaturkürzeln ist online verfügbar. Auf Twitter äußerten sich zudem namhafte Sicherheitsexperten nahezu ausnahmslos positiv über das Tool. „Ja, ich werde es für alle neuen Projekte verwenden. Bisher sieht es so aus, als könnte es meinen Workflow in IDA ersetzen, sodass ich wechseln kann“, twitterte beispielsweise der Google-Forscher Tavis Ormandy.