Dr. Michael Schwarz vom CISPA Helmholtz-Zentrum für Informationssicherheit in Saarbrücken ist Gewinner des Wettbewerbs „NSA Best Scientific Cybersecurity Paper“. Er wurde mit elf Kollegen für die gemeinsame Arbeit am Paper „Spectre Attacks“ mit dem renommierten Forschungspreis ausgezeichnet.
Einen maßgeblichen Anteil hat CISPA-Faculty Dr. Michael Schwarz an den von der amerikanischen Sicherheitsbehörde ausgezeichneten Ergebnissen. Schließlich ist die zugrunde liegende Forschung für das Spectre-Paper sowie die Forschung am Paper zur Sicherheitslücke Meltdown, Teil von Schwarz Doktorarbeit “Software-based Side-Channel Attacks and Defenses in Restricted Environments”.
Das Paper zu Meltdown, eine Sicherheitslücke, die eng mit Spectre verwandt ist, wurde bereits 2018 auf der USENIX Security veröffentlicht, das Spectre-Paper dann 2019 auf der IEEE Security & Privacy. Schon für die Arbeit an Meltdown bekam Schwarz eine "honorable mention" im NSA-Wettbewerb 2019. Beide Paper zeigen kritische Schwachstellen in Prozessoren auf. Dr. Michael Schwarz: „Nachdem wir bereits seit einigen Jahren an Seitenkanalangriffen geforscht hatten, gelang es uns mit Spectre und Meltdown zu zeigen, dass Seitenkanalangriffe wichtige Werkzeuge sind, um Sicherheitslücken im Prozessor zu finden und auszunutzen. Diese völlig neue Art von Angriffen bezeichnet man als transiente Ausführungsangriffe, zu denen etwa auch ZombieLoad gehört. Transiente Ausführungsangriffe erlauben es mit Hilfe von Seitenkanalangriffen geheime Daten zu stehlen und sind nun ein neues, sehr aktives Forschungsgebiet.”
Die bahnbrechenden Spectre-Erkenntnisse zeigen, dass moderne Prozessoren geheime und sensible Daten nicht in allen Fällen sicher verarbeiten können. Um freie Kapazitäten effizient auszunutzen, sagen moderne Prozessoren voraus, was als Nächstes berechnet werden muss. Stellt sich die Vorhersage später als korrekt heraus, wurde Zeit gespart und die freie Kapazität effektiv genutzt. Andernfalls wird das Ergebnis verworfen. Die Forscher um Michael Schwarz fanden eine Möglichkeit, dieses Verhalten auszunutzen, um damit Daten abzugreifen. Der Prozessor wird bei der Berechnung der Vorhersage ausgetrickst, sodass er in der falschen Vorhersage geheime Daten preisgibt. Das ist die Schwachstelle, die international seitdem als Spectre bezeichnet wird.
Obwohl die Spectre-Schwachstelle von verschiedenen internationalen Forscherteams unabhängig voneinander entdeckt und gemeldet wurde, arbeiteten zwölf Forscher zusammen, um ihre Ergebnisse in einem Papier zu dokumentieren.
Neben CISPA-Faculty Schwarz gehören die folgenden internationale Forscher zu den NSA-Preisträgern:
In der Jury-Begründung heißt es: „Das siegreiche Forscherteam zeigte, dass eine seit langem vertretene Grundannahme zur Computersicherheit nicht stichhaltig war. Ihre Bemühungen zeigten deutlich, wie wichtig es ist, frühere Ergebnisse zu überprüfen, Annahmen zu testen, strenge Methoden anzuwenden und Ergebnisse zu verifizieren und zu dokumentieren. Diese Studie, die bereits in mehr als 1.000 nachfolgenden Forschungspapieren zitiert wurde, gibt einen Überblick über frühere Forschungsarbeiten und leitet neue Untersuchungen ein. Darüber hinaus hatte das Paper einen breiten Anwendungsbereich, da die Forscher viele Plattformen testeten, um die Natur des Themas zu verstehen. Diese Forschung wird einen tiefgreifenden Einfluss darauf haben, wie zukünftige Prozessoren und Computer gebaut werden.“ Die diesjährige Siegerarbeit wurde von den Experten hoch gelobt: "Diese Arbeit ist enorm einflussreich, gut geschrieben und wissenschaftlich gut gemacht" und "Diese Arbeit ist erstklassig, klar und verständlich".
Für den diesjährigen Wettbewerb prüfte eine Gruppe von zehn international anerkannten Cybersicherheitsexperten zusammen mit Experten der NSA 52 nominierte Paper. Nach Prüfung und Einstufung leiteten die ausgezeichneten Experten ihre Empfehlungen an die NSA zur endgültigen Auswahl weiter.
Die Jury:
Der NSA-Wettbewerb "Best Scientific Cybersecurity Research Paper Competition" wurde 2013 mit der Absicht initiiert, die Entwicklung wissenschaftlicher Grundlagenforschung im Bereich der Cybersicherheit zu fördern und die Verbesserung der Cybersicherheit von Geräten, Computern und Systemen durch rigorose Forschung, solide wissenschaftliche Methodik, Dokumentation und Veröffentlichung zu unterstützen. Nominierungsfähig sind Paper, die in Zeitschriften, Magazinen oder Konferenzen veröffentlicht wurden.