- info@sec4good.cz
- V Olšinách 2300/75, 100 00 Praha 10
Sie haben sicherlich schon einmal von Obfuskation gehört. Einige Fachleute betrachten sie als Sicherheitsmaßnahme, viele sehen darin jedoch lediglich „Security by Obscurity“ – also Sicherheit durch die erschwerte Verständlichkeit und Kryptik eines Systems, das nur wenige ausgewählte Personen wirklich verstehen.
Dennoch empfiehlt OWASP Obfuskation als Schutzmaßnahme für mobile Anwendungen. Es handelt sich zwar nicht um eine hundertprozentige Lösung, aber genau wie bei der Kryptografie ist es ein Spiel mit der Zeit. Das Ziel ist es, den Aufwand für Reverse Engineering und Code-Review so weit zu erhöhen, dass weniger erfahrene Angreifer abgeschreckt werden und den fähigeren Angreifern genügend Zeit und Ressourcen abverlangt werden, sodass sich der gesamte Angriff für sie nicht mehr lohnt.
Verschleierung ist jedoch nicht nur ein Hilfsmittel für Verteidiger. Das haben wir am Dienstag, dem 21. April 2026, beim BSides-Workshop erfahren, wo uns Duncan Ogilvie, der Entwickler von x64dbg, einige moderne Verschleierungstechniken vorstellte, die beim Red Teaming eingesetzt werden können.
Ich kam mit der Erwartung zum Workshop, etwas über klassische Methoden wie Shikata Ga Nai zu hören, doch erwartete mich eine Überraschung in Form der Theorie virtueller Maschinen. Die Technik besteht darin, dass der Penetrationstester oder Angreifer eine eigene minimalistische virtuelle Maschine programmiert und den Angriff darin ausführt. Auf diese Weise entsteht eine virtuelle Zwischenschicht, die den Verteidigern die Arbeit erschwert und den Zeit- und Fachaufwand um ein Vielfaches erhöht.
Die Methode hat noch einige weitere Vorteile für Tester und Angreifer. Einer davon ist der geringere Zeitaufwand bei der Erstellung des Angriffs, da dieser ohne größere Anpassungen auf die meisten Geräte übertragbar ist. Ein weiterer Vorteil ist die Möglichkeit, die erwähnte Zwischenschicht kreativ anzupassen und weitere Eigenschaften hinzuzufügen, die die Analyse des jeweiligen Angriffs zusätzlich erschweren.
Schließlich bleibt noch die Frage, ob künstliche Intelligenz bei der Analyse eines solchen Angriffs helfen könnte. Die kostenlos verfügbaren Chatbots konnten mir bei den Tests mobiler Anwendungen nur teilweise helfen. Meistens schafften sie es nur, kleinere Teile des Codes zu erklären, und im Gesamtkontext waren sie nicht besonders effektiv. Bei kostenpflichtigen Tools könnte die Effizienz höher sein, aber sobald der Angreifer den Code ausreichend verkompliziert, steigt auch die Anzahl der Fehler und Fehlinterpretationen.
