В их исследовании «Проверка приведения типов: остановка возникающего вектора атаки» исследуются уязвимости в программах на C ++ (таких как Chrome и Firefox), которые возникают в результате «неправильного приведения типов» или «смешения типов». Плохое приведение типов позволяет злоумышленнику повредить память в браузере, чтобы она следовала злонамеренной логике вместо правильных инструкций. Чтобы поймать их, исследователи разработали новый запатентованный инструмент обнаружения под названием CAVER. CAVER — это средство обнаружения во время выполнения с накладными расходами от 7,6% до 64,6% на производительность браузера (Chrome и Firefox соответственно).
11 уязвимостей, выявленных Georgia Tech, были подтверждены и исправлены поставщиками.«Интернет-сообществу пора заняться более сложными и глубокими проблемами безопасности, — говорит Венке Ли, профессор Школы компьютерных наук и советник команды. «Сообщество исследователей безопасности работает над различными способами обнаружения и исправления ошибок безопасности памяти на протяжении десятилетий и добилось прогресса в устранении ошибок« переполнения стека »и« переполнения кучи », но теперь они превратились в относительно простые проблемы. Наша работа изучала гораздо более сложные и глубокие ошибки — в частности, «использование после освобождения» и «плохой кастинг» — и наши инструменты обнаружили серьезные ошибки безопасности в широко используемом программном обеспечении, таком как Firefox и libstdc ++.
Мы благодарны Facebook за это признание. "Работа была выбрана для второй в истории премии Facebook Internet Defense Prize, которая отмечает высшее качество исследований, сочетающих рабочий прототип со значительным вкладом в безопасность Интернета, особенно в областях защиты и защиты. Премия призвана отметить направление исследований и вдохновить исследователей сосредоточиться на областях, имеющих большое значение.«Разработка защитных технологий безопасности никогда не была так важна, и именно поэтому мы снова предлагаем премию Internet Defense, чтобы стимулировать высококачественные исследования в этой области», — сказал Иоаннис Папагианнис, менеджер по безопасности в Facebook. «Новаторский метод, разработанный командой Технологического института Джорджии для обнаружения неправильного преобразования типов в программах на C ++, — это тот выдающийся подход, который мы хотим поощрять.
Мы с нетерпением ждем, что команда сделает дальше, чтобы оказать более широкое влияние и улучшить безопасность в Интернете».
