«Für uns ist es wichtig, dass wir Risiken besser verstehen lernen»
In der Cybersecurity eröffnen sich sowohl Angreifern als auch Verteidigern laufend neue Möglichkeiten. Im Interview spricht Ariane Trammell über aktuelle Forschung im Bereich Information Security an der ZHAW School of Engineering, die Sicherheit vernetzter Systeme und Netzwerke sowie die Frage, welche neuen Herausforderungen KI und Quantencomputer mit sich bringen.
Ariane Trammell, welche Themen beschäftigen die Forschungsgruppe Information Security derzeit besonders stark?
Ein Thema ist sicher der Einfluss von Large Language Models (LLMs) auf Cybersecurity. Hier untersuchen wir zum einen, wie wir LLMs nutzen können, um neuartige Systeme zu bauen, welche die Sicherheit erhöhen. Zum anderen untersuchen wir, welche neuen Risiken der breite Einsatz von LLMs für die Sicherheit birgt. Ein weiteres wichtiges Thema ist die Sicherheit von sogenannten Cyber-Physical Systems, Systemen mit einer physischen und einer Software-Komponente, wie beispielsweise TV-Boxen, Telefone, aber auch Webcams oder Katzenfutterautomaten. Durch die Verbreitung sehr günstiger solcher Geräte über Internetplattformen entsteht hier ein neuer Angriffsvektor. Ein weiteres aktuelles Forschungsthema ist die Sicherheit von Netzwerken. Hier geht es zum Beispiel darum, zukünftige Bedrohungen wie leistungsfähige Quantencomputer bereits heute in der Absicherung zukünftiger Netzwerke mitzudenken. Wir sind zum Beispiel an der Entwicklung eines Frameworks für sichere Satelliten-Boden-Netzwerke für die Post-Quanten-Ära beteiligt.
Cybersecurity entwickelt sich laufend weiter. Welche Veränderungen oder neuen Bedrohungen beobachtet ihr momentan?
Aktuell entwickelt sich sicher der Einfluss von LLMs auf die Cybersecurity am rasantesten. Es ist noch nicht klar, ob sich diese Entwicklung eher für die Angreifer oder eher für die Verteidiger lohnen wird: für beide gibt es viele neue Möglichkeiten. Wahrscheinlich wird es auch hier, wie bei allen Themen der Cybersecurity, bei einem Wettrüsten zwischen Angreifern und Verteidigern bleiben. Für die Verteidiger ist es wichtig, dass wir die Risiken besser verstehen lernen. Beispielsweise ist noch nicht klar, ob durch LLMs geschriebene Software weniger, mehr oder ganz andere Schwachstellen aufweist als von Menschen geschriebene Software.
Mit welchen Herausforderungen oder Projektideen kommen Unternehmen oder andere Praxispartner typischerweise auf die Forschungsgruppe zu?
Grob kann man die Anfragen in zwei Bereiche gliedern: Entweder wollen die Unternehmen eine Sicherheitsanalyse ihrer Produkte oder sie wollen ein neues Produkt oder einen neuen Service entwickeln und suchen hierzu noch gezielt nach Expertise. Bei den letzten grösseren Projekten mit Industriepartnern lag unser Fokus auf der Analyse grosser Datenmengen, um daraus gezielt sicherheitsrelevantes Wissen zu gewinnen. Aktuell haben wir zum Beispiel ein Innosuisse-Projekt mit Open Systems, in dem wir gemeinsam einen Service zur automatisierten Erfassung des Security-Reifegrads ihrer Kunden entwickeln.
Ein Schwerpunkt ist die Sicherheitsanalyse bestehender Systeme. Wie geht ihr vor, wenn ihr nach Schwachstellen in Software, Hardware oder Kommunikationssystemen sucht?
Der erste und vielleicht wichtigste Schritt ist, sicherzustellen, dass wir das System auch wirklich testen dürfen. Andernfalls kann man schnell mit dem Gesetz in Konflikt kommen, was wir natürlich vermeiden möchten. In den allermeisten Fällen legen wir also in einem Vertrag fest, was wir genau testen werden. Danach folgt der technische Teil. Hier suchen wir gezielt nach den häufigsten Schwachstellen. Dazu kombinieren wir Penetration-Testing-Guidelines und spezialisierte Tools mit unserer Expertise und Kreativität. Nach Abschluss solcher Analysen ist es uns immer ein Anliegen, die gefundenen Schwachstellen so zu dokumentieren, dass sie von den Herstellern einfach reproduziert und dann auch nachhaltig behoben werden können.
Gibt es dazu aktuelle Projektbeispiele?
Ein konkretes Beispiel ist die Analyse der Sicherheit der Schweizer E-ID, respektive der dazu entwickelten swiyu-Wallet. Das E-ID-Ökosystem basiert auf den Prinzipien der Self-Sovereign Identity. Dabei werden Daten direkt auf Smartphones und nicht auf einem zentralen Server gespeichert. So werden die Smartphones zum Ziel für Angreifer. In einer Masterarbeit in Zusammenarbeit mit dem Cyber Defense Campus der armasuisse haben wir unter anderem analysiert, ob ein motivierter Angreifer die Abwehrmechanismen der swiyu-Wallet auf Android-Geräten ausnutzen oder umgehen könnte. Dabei wurde insbesondere geprüft, ob Zugangsdaten innerhalb des hardwaregestützten Schlüsselspeichers von Android kompromittiert werden können.
Immer mehr Software wird mithilfe generativer KI entwickelt. Entstehen dadurch neue Herausforderungen für die IT-Sicherheit?
Die Antwort darauf ist noch nicht klar. Es könnte in beide Richtungen gehen: Die KI ist grundsätzlich in der Lage, sicheren Code zu schreiben oder Schwachstellen zu finden und diese zu korrigieren. Somit gibt es grosse Hoffnung, dass Software in Zukunft sicherer sein wird. Auf der anderen Seite machen aktuelle LLMs noch viele Fehler, wenn man sie nicht explizit anweist, sicheren Code zu schreiben. Und wenn jetzt plötzlich viel mehr Menschen Software schreiben können, ohne dass sie ein vertieftes Verständnis der Risiken haben, kann das schnell zu sehr viel Code mit vielen Schwachstellen führen. Aktuell ist es daher sicher wichtig, dass man LLM-generierten Code genauso sorgfältig prüft wie von Menschen generierten Code.
Wie lasst ihr Erkenntnisse der Forschungsgruppe in die Lehre einfliessen?
Zum einen bieten wir sowohl im Bachelor als auch im Master viele Studierendenarbeiten an. Dort können die Studierenden direkt an den aktuellen Fragestellungen mitarbeiten. Zusätzlich bieten wir Teilzeitjobs für Masterstudierende an, sodass sie über einen längeren Zeitraum in unseren Projekten mitarbeiten können. Zum anderen überarbeiten wir unsere Vorlesungen kontinuierlich mit den neusten Erkenntnissen, so haben wir seit letztem Jahr auch das Thema KI und Security in die Vorlesung aufgenommen.
Welche neuen Anwendungsfelder werden für die Forschungsgruppe in den kommenden Jahren aus deiner Sicht besonders relevant?
Das Thema KI und Cybersecurity wird sicher weiter an Bedeutung gewinnen. Wir gehen auch davon aus, dass wir vermehrt Anfragen zum Thema Post-Quantum-Security erhalten werden. Und schliesslich wird es vielleicht auch mehr Anfragen aus dem Bereich digitale Souveränität geben. Eines ist sicher: Spannend bleibt es auf jeden Fall und wir werden uns dafür einsetzen, die Bevölkerung bestmöglich vor Cyberrisiken zu schützen.