Die Sicherheitsprobleme von Huawei in Großbritannien verdeutlichen den dringenden Bedarf an sicherem Programmieren.

Ursprünglich veröffentlicht in Information Age. Dies ist eine aktualisierte Fassung, die die Positionierung bezüglich des laufenden Sicherheits-Supports von Wind River Systems für deren Echtzeitbetriebssystem VxWorks korrigiert.

Ein aktueller Bericht des britischen Huawei Cyber Security Evaluation Centre hat erhebliche Sicherheitsmängel in den Softwareentwicklungsprozessen von Huawei aufgedeckt. Während sich ein Großteil der Berichterstattung über diesen kritischen Bericht auf ungelöste Probleme aus dem Vorjahr konzentriert, ist das gefährlichere und übersehene Problem der offensichtliche Mangel an sicheren Programmierrichtlinien und -praktiken bei Huawei. Doch das ist ein Problem, das sich beheben lässt.

Für den chinesischen Telekommunikationsriesen Huawei reißen die schlechten Nachrichten nicht ab. Während die Vereinigten Staaten das Unternehmen von künftigen Regierungsaufträgen komplett ausgeschlossen haben, zeigt sich das Vereinigte Königreich offener für die Tatsache, dass viele der grundlegenden Mängel in Huaweis Geräten und Code behebbar sind. Das Vereinigte Königreich gründete 2010 das Huawei Cyber Security Evaluation Centre (HCSEC), um Sicherheitsprobleme in Huawei-Produkten zu bewerten, anzugehen und einen jährlichen Bericht darüber zu erstellen. Der diesjährige Bericht fiel jedoch besonders vernichtend aus.

Der Fokus der Berichterstattung über den HCSEC-Bericht 2019 lag vor allem darauf, dass nahezu keine Sicherheitslücken aus dem Vorjahr behoben wurden. Dazu gehört die Verwendung einer älteren Version des Echtzeitbetriebssystems VxWorks von Wind River, das bald das Ende seines Lebenszyklus erreicht. Huawei hat versprochen, dieses Problem zu beheben (und erhält weiterhin Support von Wind River Systems), doch es bleibt ein Kernbestandteil eines Großteils der britischen Telekommunikationsinfrastruktur.

Ein entscheidender Faktor, der von der breiten Presse weitgehend übersehen wurde, deutet auf einen grundlegend fehlerhaften Prozess bei der Entwicklung und Bereitstellung neuer Software und Hardware im Unternehmen hin. Der Bericht stellt „erhebliche technische Probleme“ im Umgang von Huawei mit seinen internen Entwicklungsmethoden fest.

Betrachten wir einige Beispiele für die im Bericht aufgeführten technischen Probleme. Man muss sagen, dass eine der besten Maßnahmen von Huawei die Erstellung sicherer Programmierrichtlinien war, um ihre Ingenieure und Programmierer bei der Bereitstellung von neuem Code zu unterstützen. Diese Richtlinien decken eine breite Palette bewährter Verfahren ab, wie etwa die Verwendung bekanntermaßen sicherer Versionen von Systemfunktionen und Prozessen aus vertrauenswürdigen Bibliotheken – und keinesfalls Varianten mit bekannten Schwachstellen. In der Theorie ist das hervorragend, doch eine Evaluierung eines Huawei-Produktionssystems im Vereinigten Königreich ergab, dass diese Richtlinien entweder nie an die Programmierer kommuniziert, von diesen ignoriert oder schlichtweg nicht durchgesetzt wurden.

Der Bericht untersuchte spezifische Speicherverwaltungsfunktionen innerhalb öffentlich zugänglicher Anwendungen – in diesem Fall eine Reihe von Message Boards, bei denen Benutzer dazu eingeladen wurden, Eingaben zu tätigen. Da Benutzerbereiche niemals als „vertrauenswürdig“ eingestuft werden sollten, wurde erwartet, dass diese Bereiche gemäß den internen Huawei-Richtlinien nur sicheren Code enthalten. Insbesondere untersuchten die Tester den direkten Aufruf der Speicherverwaltungsfunktionen memcpy(), strcpy() und sprintf() innerhalb dieser Produktionssysteme, die seit 1988 bekanntermaßen zu schwerwiegenden Sicherheitsproblemen wie Pufferüberläufen führen können.

Erschreckenderweise gab es 5.000 direkte Aufrufe von 17 als sicher geltenden memcpy()-Funktionen, aber auch 600 Verwendungen von 12 unsicheren Varianten. Bei den anderen Funktionen war das Verhältnis ähnlich. Es gab 1.400 sichere strcpy()-Aufrufe, aber auch 400 fehlerhafte mit bekannten Schwachstellen. Zudem wurden 2.000 sichere Verwendungen von sprintf() gefunden, verglichen mit 200 unsicheren. Auch wenn es positiv ist, dass die meisten dieser Funktionen sicher verwendet wurden, bleibt etwa 20 % des gesamten Codes anfällig für bekannte Angriffe. Das ist eine riesige Angriffsfläche, und dabei sind nur die direkten Aufrufe der drei Speicherverwaltungsfunktionen berücksichtigt, nicht jedoch deren indirekte Nutzung über Funktionszeiger. Obwohl die Prüfer nur diese spezifischen Funktionen untersuchten, ist es unwahrscheinlich, dass nur diese drei Probleme aufweisen.

Es ist zwar gut, dass Huawei einen Leitfaden für bewährte Verfahren für seine Programmierer erstellt hat, doch es ist klar, dass mehr getan werden muss. Sicherheitserwartungen zu formulieren ist ein erster Schritt, aber sie sind nur dann effektiv, wenn diese Richtlinien aktiv befolgt werden und dem Entwicklungsteam bekannt sind. Huawei könnte bei der Verbesserung seiner Sicherheit große Fortschritte machen, wenn es sich dazu verpflichtet, seine Programmierer effektiv zu schulen, anstatt nur die Grundlagen der internen Huawei-Richtlinien oberflächlich zu behandeln. Sie müssen den entscheidenden Schritt weitergehen und zeigen, wie man generell sicherer programmiert. Programmierer müssen ausreichend in guten (sicheren) und schlechten (unsicheren) Programmiermustern geschult werden und die Verantwortung erhalten, das, was das Unternehmen predigt, jedes Mal in die Praxis umzusetzen.

Viele der spezifischen Programmierprobleme, die im HCSEC-Bericht aufgeführt sind, werden durch die Secure Code Warrior-Plattform adressiert und durchgesetzt, die Programmierer und Cybersicherheitsteams darin schult, stets sicheren Code bereitzustellen und zu pflegen. Konzepte wie das niemals blinde Vertrauen auf Benutzereingaben, das konsequente Nutzen von Funktionen aus etablierten Bibliotheken, das Bereinigen aller Eingaben vor der Weiterleitung an einen Server und viele weitere sichere Programmierpraktiken werden auf der Plattform ständig demonstriert. Wir betrachten zudem hochspezifische Schwachstellen und zeigen Schritt für Schritt, wie man diese vermeidet und entschärft.

Zusätzlich zu qualifizierter Schulung könnten Unternehmen wie Huawei DevSecOps-Lösungen nutzen. Diese bieten Echtzeit-Coaching direkt in der IDE und verwenden sichere Programmierrezepte, die auf die Sicherheitsrichtlinien des Unternehmens zugeschnitten sind. Sie fungieren als Sous-Chef des Entwicklers in der Programmier-„Küche“, während dieser seinen Code schreibt. Ein solcher Ansatz könnte Huawei-Programmierern aller Kenntnisstufen helfen, besseren Code zu schreiben und potenzielle Schwachstellen zu erkennen, während Huaweis Sicherheitsexperten gleichzeitig ein „Kochbuch“ mit Rezepten erstellen können, die ihren Richtlinien entsprechen und bei der Befehlsausführung helfen.

A core lesson from Huawei's troubles should be that creating secure coding guidelines is meaningless if programmers don't know about them, or simply don't know how to follow good coding practices. In this case, the internal best practices guidelines turned out to be Huawei's own zhilaohu; what the West would call "a paper tiger'. It was a document with a lot of style, but no substance. To give it real teeth would require the right practical tools and an actual training program, one that takes a hands-on approach and builds continuous knowledge and skill.