Internationales Turnier: Saar-Uni ist bestes europäisches Team

Die Ural Federal University hatte den IT-Sicherheitswettbewerb „ruCTF“ am 17. April dieses Jahres veranstaltet. Er begann um 9 Uhr morgens im Jelzin-Zentrum der Industrie-Stadt im russischen Uralgebirge. Dort mussten die 21 Teams aus Russland, Italien, Ungarn und Deutschland in nur neun Stunden diverse Dienste und Geräte eines komplett vernetzen Haushaltes auf Sicherheitslücken überprüfen, diese als Verteidiger schließen und zum Angriff gegen die übrigen Teams nutzen. Dazu hatten sie am Morgen ihr eigenes „intelligentes Haus“ virtuell auf einem Laptop überreicht bekommen, der dann in einem Netzwerk arbeitete, in dem alle Mannschaften angreifen konnten.

Den Start in Russland hatte sich die Saarbrücker Informatikstudenten bereits im November des vergangenen Jahres erkämpft. In einem internationalen, im Internet ausgetragenen Turnier hatten sie 137 Teams hinter sich gelassen und den dritten Platz belegt.

„Im Prinzip ist es wie eine Sportart. Die Herausforderung liegt darin, in kürzester Zeit und schneller als andere eine Lösung zu finden – für einen Angriff und die entsprechende Abwehrmaßnahme“, erklärt Oliver Schranz, Doktorand am Saarbrücker Center für IT-Sicherheit, Privacy and Accountability (CISPA). Den Spaßfaktor erhöhe auch die Tatsache, dass man das Wissen aus der Vorlesung praktisch anwenden könne, so Schranz. Die Mannschaft der Saarbrücker Informatikstudenten nennt sich „saarsec“. Der wesentlich kleinere Kader für Russland bestand aus Schranz, Jonas Bushart, Pascal Berrang, Johannes Krupp, Markus Bauer, Frederik Möllers und Jonas Cirotzki. Dennoch waren in der siebenköpfigen Mannschaft alle Ausbildungsniveau vertreten, abgefangen von Drittsemester der Informatik bis hin zu vier Doktoranden. „Auf diese Weise haben wir in unserer Mannschaft Spezialisten für unterschiedliche Gebiete, angefangen bei der Heimautomation über Angriffsprogramme bis hin zu der Kunst des Ver- und Entschlüsselns“, erklärt Schranz.

Während des Wettbewerbes vor Ort mussten die Saarbrücker Informatikstudenten Geräte und Dienste wie einen Putzroboter, einen vernetzten Kühlschrank oder einen intelligenten Tresor sowohl angreifen als auch verteidigen. Oft ließen sich aus der Ferne Daten auslesen, die während des Betriebs versendet wurden. Die Studenten konnten daraus auf Sicherheitslücken schließen und diese Vermutungen überprüfen. Oft arbeiteten auch die im intelligenten Haus eingesetzten Verschlüsselungsverfahren fehlerhaft, so dass sie sich aushebeln ließen. In seltenen Fällen waren die Webseiten der angebotenen Dienste auch komplett unverschlüsselt.

„Man musste immer etwas um die Ecke denken“, erklärt Pascal Berrang, ebenfalls Doktorand am CISPA, „ ohne diese Mentalität, das Ausprobieren von Programmen und Funktionen in einem Kontext, für den sie eigentlich nicht gedacht sind, geht in der IT-Sicherheit nicht viel.“

Hatten die Informatikstudenten eine Sicherheitslücke entdeckt, feuerten sie ihren Angriffscode permanent auf die Dienste der anderen Gruppen ab. Konnten sie so unbemerkt in das System eindringen, stahlen sie ähnlich wie beim Maibaum-Entführen am ersten Mai oder dem Fahnen-Klau in Zeltlagern digitale Codeschnipsel, sogenannte Flaggen. Je mehr geklaute Flaggen sie vorweisen konnten, desto höher stiegen sie in der Rangliste. Die Saarbrücker Informatiker schafften es so auf den zweiten Platz, und das, obwohl sie erst seit 18 Monaten auf solchen Turnieren antreten. Schranz erklärt die erfolgreiche Russland-Mission so: „Unsere Ausrüstung war sehr gut. Die von uns entwickelten Programme haben viele Sicherheitslücken gefunden. Sie haben uns einen starken Vorteil verschafft.“ Pascal Berrang sieht eher die Ausbildung an der Saar-Uni als entscheidenden Erfolgsfaktor: „Wir sind darauf getrimmt, einfache Fehler im Schlaf zu erkennen. Dann haben wir alle ein breites Wissen. Es gibt hier keinen, der sich beispielsweise nicht mit Verschlüsselungsverfahren auskennt.“ Ihren nächsten Wettkampf wollen die Mitglieder von saarsec Ende des Jahres bestreiten. Die Trophäe aus Russland dagegen erhält schon jetzt einen Ehrenplatz im Foyer des erst im April offiziell eröffneten CISPA-Gebäudes.

Hintergrund: IT-Sicherheit an der Universität des Saarlandes

IT-Sicherheit ist ein Schwerpunkt der Informatik-Institute auf dem Campus der Universität des Saarlandes. Bereits 2011 richtete das Bundesministerium für Bildung und Forschung (BMBF) drei Kompetenzzentren für IT-Sicherheit ein. Eines davon ist das Center for IT-Security, Privacy and Accountability (CISPA) an der Universität des Saarlandes. Nach einer ersten Förderphase mit insgesamt rund 5,6 Millionen Euro, erhält das CISPA vom BMBF in der zweiten Förderphase bis zum Jahr 2019 rund 16 Millionen Euro. Inzwischen ist CISPA zu einem Forschungsstandort mit internationaler Sichtbarkeit geworden ist. 33 Gruppen mit 210 Forschern arbeiten dort. Größter Erfolg bis dato: Zusammen mit dem Max-Planck-Institut für Informatik und dem Max-Planck-Institut für Softwaresysteme gewann CISPA den „ERC Synergy Grant“ des Europäischen Forschungsrates (ERC). Damit erhielten Michael Backes und drei weitere Informatik-Professoren rund zehn Millionen Euro, um zu erforschen, wie man im Internet Anwender gegen Ausspähung und Betrug schützen und Täter entlarven kann, ohne dabei den Handel, die freie Meinungsäußerung sowie den Zugang zu Informationen im Internet einzuschränken.

Pressefotos unter: www.uni-saarland.de/pressefotos

Weitere Informationen:

Website der saarsec:
https://saarsec.rocks/

Fragen beantwortet:
Oliver Schranz
Information Security and Cryptography
Center for IT-Security, Privacy and Accountability
Telefon: +49 681 302 57368
E-Mail: schranz@cs.uni-saarland.de

Pascal Berrang
Information Security and Cryptography
Center for IT-Security, Privacy and Accountability
Telefon: +49 681 302 57376
E-Mail: berrang@cs.uni-saarland.de

Redaktion:
Gordon Bolduan
Kompetenzzentrum Informatik Saarland
Telefon: +49 681 302-70741
E-Mail: bolduan@mmci.uni-saarland.de