Software-Entwicklung für Sichere Systeme

Transkript

1 Software-Entwicklung für Sichere Systeme Sommersemester 2004 Stefan Lucks Universität Mannheim Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.1/16

2 Organisatorisches Im WWW zugänglich: Die Folien zur Vorlesung. Weitere Informationen (Literaturhinweise,... ). Es ist ratsam, die Übungsaufgaben tatsächlich zu bearbeiten. Nur für einen Teil der Aufgaben wird es Musterlösungen geben. In der Vorlesung wird nicht jedes (benötigte) Detail der Sprache Ada95 behandelt. Zu den Übungen gehört, sich einzelne Teile des Stoffes selbstständig zu erarbeiten (meint: Vorgegebene Kapitel der online verfügbaren Literatur zu lesen). Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.2/16

3 Themen in der Vorlesung Ada95: Programmieren im Kleinen Ada95: Programmieren im Großen Methoden des Software-Engineerings, formale Methoden Mini-Projekt (wenn die Zeit reicht) Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.3/16

4 Themen im Detail Ada95: Programmieren im Kleinen Hello World und Bekannte Statements (if, loop,...) und einfache Typen (Integer, Boolean,...) Strenge Typisierung: Eine Firewall zwischen Typen Zusammengesetzte Typen (Arrays, Records) Ada95: Programmieren im Großen Methoden des Software-Engineerings, formale Methoden Mini-Projekt (wenn die Zeit reicht) Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.4/16

5 Themen im Detail Ada95: Programmieren im Kleinen Ada95: Programmieren im Großen Pakete, Bibliotheken, Abstrakte Datentypen Statischer Polymorphismus: Generische Pakete Dynamischer Polymorphismus: Objektorientierte Programmierung Methoden des Software-Engineerings, formale Methoden Mini-Projekt (wenn die Zeit reicht) Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.4/16

6 Themen im Detail Ada95: Programmieren im Kleinen Ada95: Programmieren im Großen Methoden des Software-Engineerings, formale Methoden Design By Contract Systematisches Testen von Programmen (vor allem Unit-Tests) Statische Analyse von Programmen ( Spade Ada Kernel SPARK) Mini-Projekt (wenn die Zeit reicht) Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.4/16

7 Themen im Detail Ada95: Programmieren im Kleinen Ada95: Programmieren im Großen Methoden des Software-Engineerings, formale Methoden Mini-Projekt (noch offen für Vorschläge) Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.4/16

8 Abgrenzung: Klein Groß Programmieren Bauen Klein Übungsaufgabe Nagel in die in PI 1 Wand schlagen Groß Millionen Wohnsiedlung mit Lines of Code 500 Wohneinheiten Programmieren im Großen kann man an der Uni kaum Lehren bzw. Lernen... Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.5/16

9 Abgrenzung: Klein Groß Programmieren Bauen Klein Übungsaufgabe Nagel in die in PI 1 Wand schlagen Groß Millionen Wohnsiedlung mit Lines of Code 500 Wohneinheiten Programmieren im Großen kann man an der Uni kaum Lehren bzw. Lernen... aber: Kleinere Programmierprojekte (z.b. im Zusammenhang mit Studien- und Diplomarbeiten) Tapezieren, Fliesen, Einziehen einer Zwischenwand,..., Bau eines Einfamilienhauses,... Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.5/16

10 Abgrenzung (2) In der Vorlesung geht es nicht primär um Software-Engineering. In der Vorlesung geht es nicht um Kryptographie (aber wer sichere kryptographische Anwendungen programmieren möchte, ist in dieser Vorlesung gut aufgehoben). Die Vorlesung behandelt primär Sichere Systeme, und wie man Software dafür schreibt. Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.6/16

11 Persönliche Anmerkungen Mein (Haupt-) Steckenpferd: Kryptographie. (Schutz von (Kommunikations-) Systemen gegen vorsätzliche Angriffe und Bedrohungen.) Reale, frei verfügbare Implementationen: voller Fehler (siehe z.b. einschlägige CERT Advisories ). Garantiert immer fehlerfreie Software: geht nicht! Aber: Es gibt keinen Grund, warum kritische Softwarefehler häufiger auftreten als Flugzeuge ab- oder Brücken einstürzen! Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.7/16

12 Beispiel Eine bösartig-gefährliche Sicherheitslücke aus der Praxis: if ((options == ( WCLONE WALL)) && (current->uid = 0)) retval = -EINVAL; Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.8/16

13 Was sind sichere Systeme? Wenn die Software versagt, gibt es (viele!) Tote (Boing, Airbus,... ). Wenn die Software versagt, entstehen Schäden in Millionen- oder Milliardenhöhe (Mondex Elektronisches Geld, Ariane,... ). Die Software muss gezielten Manipulationen von Angreifern standhalten (kryptographische Anwendungen, Firewalls,... ) Sicherheit : Safety & Security Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.9/16

14 Ada95 Ada Ada Software-Krise 1980 Das US-amerikanischen Verteidigungsministerium sponsort einen Auswahlprozess für eine neue Programmiersprache. Vier Vorschläge, alle auf Pascal basierend, kommen in die engere Auswahl Endgültige Verabschiedung von Ada (Ada83) als ANSI-Standard, 1987 internationaler Standard (ISO). Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.10/16

15 Ada95 Ada Ada Software-Krise 1980 Das US-amerikanischen Verteidigungsministerium sponsort einen Auswahlprozess für eine neue Programmiersprache. Vier Vorschläge, alle auf Pascal basierend, kommen in die engere Auswahl Endgültige Verabschiedung von Ada (Ada83) als ANSI-Standard, 1987 internationaler Standard (ISO) Weiterentwicklung im Auftrag der ISO Ada95. Ada83 Ada95 = Ada Im Kontext dieser Vorlesung Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.10/16

16 Ada95 Ada Ada Software-Krise 1980 Das US-amerikanischen Verteidigungsministerium sponsort einen Auswahlprozess für eine neue Programmiersprache. Vier Vorschläge, alle auf Pascal basierend, kommen in die engere Auswahl Endgültige Verabschiedung von Ada (Ada83) als ANSI-Standard, 1987 internationaler Standard (ISO) Weiterentwicklung im Auftrag der ISO Ada95. Ada83 Ada95 = Ada Im Kontext dieser Vorlesung Ab 2000 Weiterentwicklung im Auftrag der ISO Ada05? Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.10/16

17 Warum eine neue Programmiersprache?? Ada ist wenig verbreitet, kaum bekannt.? Ist JAVA nicht sicher? Oder C#?? In jeder Programmiersprache kann man sichere Programme schreiben (und in jeder unsichere)! Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.11/16

18 Warum eine neue Programmiersprache?? Ada ist wenig verbreitet, kaum bekannt.? Ist JAVA nicht sicher? Oder C#?? In jeder Programmiersprache kann man sichere Programme schreiben (und in jeder unsichere)!! Ada vermeidet einige Fussangeln der C-Sprachen.! Ada95 ist zwar eine Nischen-Sprache, aber fest etabliert in dieser Nische (Sicherheitsapplikationen, z.b. Boing 777 oder Mondex (elektronisches Geld).)! Die Ada-typische Art zu denken ist (nicht nur) bei Sicherheitsannwendungen extrem nützlich egal mit welcher Sprache man arbeitet. Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.11/16

19 Und wenn es nicht um Sichere Systeme geht? Ada wird zwar vor allem im Sicherheits-Bereich genutzt, gilt aber general purpose Programmiersprache. Einschlägige Studien (im Vergleich zu anderen Sprachen, insbes. C++): + Kostenersparnis. + Weniger Fehler (pro implementierte Funktion). + Bessere Les- und Wartbarkeit. Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.12/16

20 Und wenn es nicht um Sichere Systeme geht? Ada wird zwar vor allem im Sicherheits-Bereich genutzt, gilt aber general purpose Programmiersprache. Einschlägige Studien (im Vergleich zu anderen Sprachen, insbes. C++): + Kostenersparnis. + Weniger Fehler (pro implementierte Funktion). + Bessere Les- und Wartbarkeit. Warum programmiert dann nicht jeder mit Ada? Meiner Meinung nach: Nachteil von Ada: Time to Market. Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.12/16

21 Compiler gnat 3.15p gcc 3.2 oder 3.3 (enthält gnat, aber nicht alle zu gnat gehörenden Tools) Studentenpool ObjectAda für Windows (eingeschränkte Version)... Dateinamen für Compilation Units : gnat-konventionen (schränkt die Arbeit mit ObjectAda nicht ein). Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.13/16

22 Sonstiges Werkzeug Entwicklungsumgebungen (IDEs): ObjectAda: IDE integriert gnat: mehrere IDEs (unter anderem gps). Ich selbst benutze emacs im Ada-Modus. Weitere Tools: Test Driver Generator tg (wird noch rechtzeitig angesagt). Ein Debugger darf/kann für die Bearbeitung der Übungsaufgaben genutzt werden ist aber eigentlich unnötig. Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.14/16

23 Noch eine Abgrenzung Ada 95 ist eine mächtige Programmiersprache. In der Vorlesung werden nur Teilbereiche von Ada95 präsentiert. Bereiche, die Ada unterstützt, die in der Vorlesung aber nicht behandelt werden, sind unter anderem: Multitasking (bzw. -threading ), Verteilte Systeme, Echtzeitsysteme,... Systemprogrammierung Verarbeitung reeller Zahlen (Fliesskomma-, Festkomma- oder Dezimalzahlen) Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.15/16

24 Und nun... Welcome to Ada95 land! At quiet nights one can hear C programmers debug. gefunden bei Rainer Koschke, Uni Stuttgart Stefan Lucks, Vorlesung Software-Entwicklung für Sichere Systeme SS 04 p.16/16