Categories: SicherheitSoftware

Code-Check-Tools: Das Ende aller Sicherheitslücken?

Durch die großen Herausforderungen im Bereich der Softwaresicherheit erfreuten sich sogenannte Code-Check-Tools in den letzten Jahren immer größerer Beliebtheit. Diese Tools prüfen Sourcecode schon im Vorfeld auf Sicherheitslücken und markieren problematische Codesequenzen.

Um der zahllosen Sicherheitslücken in seinen Windows-Betriebssystemen Herr zu werden, hat Microsoft 1999 Intrinsa, einen Hersteller solcher Tools, für 60 Millionen Dollar übernommen. Inzwischen buhlen eine Hand voll anderer Produzenten um die Gunst der Kunden.

Aufgeschreckt durch die großen Wurm-Epidemien wollen Unternehmen zunehmend in Tools investieren, um sich künftig besser gegen Angriffe aus dem Internet zu schützen. Unternehmen wie Sanctum, Hersteller eines Code-Checkers für Webapplikationen, versprechen sich ein boomendes Geschäft.

„Unternehmen, die auch im Internet tätig sind, können es sich nicht länger leisten, auf Software zu setzen, die voller Sicherheitslöcher ist“, so Fortify-Gründer Mike Armistead. Das Unternehmen ist ebenfalls in diesem Bereich tätig.

Experten befürchten, dass Entwickler irgendwann die juristische Verantwortung für Sicherheitslücken in ihren Produkten übernehmen müssen, insbesondere dann, wenn Tools auf dem Markt sind, um diese zu verhindern. „Für die Zukunft wünscht man sich, dass alle Entwickler diese Tools nutzen, um ihre Codes zu checken“, so David Evans von der University of Virginia. „Es ist für die Industrie wirklich kein Renommee, dass immer noch Software mit Buffer Overflows produziert wird.“

Obwohl bereits seit mindestens drei Jahrzehnten bekannt, sind Buffer Overflows nach wie vor der häufigste Grund für Sicherheitslücken. Dadurch wurden auch Wurm-Epidemien wie MS Blaster und Sasser ermöglicht.

Beobachter sehen den Einsatz der Tools jedoch mit Skepsis. Der Sicherheits-Experte Dave Aitel beispielsweise hält den aktuellen Entwicklungsstand der Software noch nicht für ausreichend. Zu oft würden Code-Sequenzen markiert, die gar nicht fehlerhaft sind. Dies wirke sich negativ auf die Produktivität der Entwickler aus und mache den eigentlich gewonnenen Zeitvorteil wieder zunichte.

An der grundsätzlichen Notwendigkeit solcher Tools lässt jedoch auch Aitel keinen Zweifel. „Der meiste Code steckt voller einfacher Bugs. Viele große Unternehmen führen überhaupt keine Prüfungen durch.“

Die Hersteller von Code-Checking-Tools prognostizieren einen Paradigmenwechsel. Künftig würden Unternehmen den Einsatz von unsicherer Software nicht mehr akzeptieren. Sicherheit werde mehr und mehr zur Grundvoraussetzung.

ZDNet.de Redaktion

Recent Posts

Gefahren im Foxit PDF-Reader

Check Point warnt vor offener Schwachstelle, die derzeit von Hackern für Phishing ausgenutzt wird.

11 Stunden ago

Bitdefender entdeckt Sicherheitslücken in Überwachungskameras

Video-Babyphones sind ebenfalls betroffen. Cyberkriminelle nehmen vermehrt IoT-Hardware ins Visier.

11 Stunden ago

Top-Malware in Deutschland: CloudEye zurück an der Spitze

Der Downloader hat hierzulande im April einen Anteil von 18,58 Prozent. Im Bereich Ransomware ist…

11 Stunden ago

Podcast: „Die Zero Trust-Architektur ist gekommen, um zu bleiben“

Unternehmen greifen von überall aus auf die Cloud und Applikationen zu. Dementsprechend reicht das Burg-Prinzip…

1 Tag ago

Google schließt weitere Zero-Day-Lücke in Chrome

Hacker nutzen eine jetzt gepatchte Schwachstelle im Google-Browser bereits aktiv aus. Die neue Chrome-Version stopft…

1 Tag ago

Hacker greifen Zero-Day-Lücke in Windows mit Banking-Trojaner QakBot an

Microsoft bietet seit Anfang der Woche einen Patch für die Lücke. Kaspersky-Forscher gehen davon aus,…

1 Tag ago