A segurança dos dados depende do uso de criptografia adequada e bem executada – a ciência e a arte de construir algoritmos que tornam as informações seguras contra olhares indiscretos e possivelmente maliciosos.
"A criptografia estabelece propriedades como confidencialidade e integridade das informações", disse Amit Seal Ami. "Eles são baseados em princípios matemáticos muito rígidos. Muitas vezes, engenheiros de software ou programadores confiam em Interfaces de Programação de Aplicativos - como programas pré-criados - que eles usam para tentar alcançar essas propriedades em aplicativos."

Ele explicou que a dependência dos desenvolvedores dessas Interfaces de Programação de Aplicativos, ou APIs, de prateleira, de tamanho único, geralmente resulta em um afastamento dos princípios criptográficos sólidos - e, portanto, leva a dados confidenciais prontos para exposição.

"Então é como se eles estivessem tentando fazer as coisas certas, mas estão fazendo de maneira incorreta", explicou Ami. "É disso que se trata o uso indevido. Então, temos detectores de uso indevido de API de criptografia, que são ferramentas de análise que nos ajudam a encontrar esse uso indevido em software. No entanto, esses detectores de criptografia podem ter falhas. E se não soubermos dessas falhas , temos uma falsa sensação de segurança."

Ami é Ph.D. candidato no Departamento de Ciência da Computação da William &Mary, e o principal aluno autor do artigo "Why Crypto-detectors Fail:A Systematic Evaluation of Cryptographic Misuse Detection Techniques", que ele apresentou no 43º Simpósio sobre Segurança e Privacidade do Instituto de Engenheiros Elétricos e Eletrônicos (IEEE).

Os co-autores do artigo incluem os conselheiros de Ami, Adwait Nadkarni e Denys Poshyvanyk, ambos professores do departamento de Ciência da Computação William &Mary, e um trio de atuais e antigos doutores em CS. alunos:Nathan Cooper, Kaushal Kafle e Kevin Moran.

Ami, que foi selecionada como 2022 Commonwealth of Virginia Engineering and Science (COVES) Fellow e recebeu a Commonwealth of Virginia, Commonwealth Cyber ​​Initiative (CoVA-CCI) Dissertation Fellowship no mesmo ano, diz o estado atual dos detectores de cripto-API inclui uma quantidade aflitivamente grande de falhas.

"O que estamos tentando fazer é ajudar as pessoas a fazer detectores melhores - ou seja, detectores que podem detectar o uso indevido na prática", explicou Ami.

Os colaboradores se propuseram a investigar as falhas nos detectores de API de criptografia que têm a função de policiar e corrigir falhas de segurança devido ao uso indevido da API de criptografia. Eles estabeleceram uma estrutura que chamam de MASC para avaliar como vários detectores de API de criptografia funcionam na prática.

"O que fazemos primeiro é olhar para o que sabemos sobre o uso indevido em primeiro lugar - as maneiras pelas quais as APIs de criptografia são usadas e mal utilizadas", disse Ami. "Mas quais são as outras maneiras pelas quais eles podem ser mal utilizados?"

Usando o MASC, os colaboradores pegam essas vulnerabilidades conhecidas e estabelecidas e as ajustam, criando mutações. Então, disse Ami, eles estudam essas mutações usando os detectores que estão sendo avaliados.

"E então tentamos ver se os detectores podem encontrar esses casos de uso indevido mutantes ou alterados", disse ele. "E quando eles não podem, sabemos que algo está errado lá."

A estrutura MASC revelou falhas nos detectores:"Algumas das vulnerabilidades perdidas pelos detectores eram um tanto óbvias", disse Ami. "Mas alguns eram muito óbvios.", ou seja, o que os detectores deveriam ter captado.

Os colaboradores voltaram aos desenvolvedores dos detectores defeituosos para discutir o porquê e o como do problema das falhas. Ami disse que encontraram diferenças nas perspectivas. Alguns dos desenvolvedores estavam focando na técnica, trabalhando para um resultado baseado em padrões de conformidade de segurança.

"O que estávamos fazendo, por outro lado, era olhar para essas ferramentas de uma perspectiva hostil", disse ele. "Porque quando as pessoas estão tentando tirar vantagem das falhas, elas não vão ser legais com isso."

O grupo defende uma mudança de paradigma:que os desenvolvedores abandonem sua abordagem centrada na técnica em favor de uma abordagem mais focada na segurança.

"É com isso que gostaríamos de contribuir", disse Ami. "Todos esses detectores, quando estão sendo desenvolvidos, devem passar por uma abordagem de revisão hostil, para que os desenvolvedores possam tornar suas ferramentas mais confiáveis ​​adotando nossa abordagem." + Explorar mais

Nova teoria para detecção de ondas eletromagnéticas terahertz dá esperança para avanços em TI e medicina