Hinweis: Dieser Artikel ist älter als 3 Jahre
Inhalte, Quelltexte oder Links können zwischenzeitlich überholt sein.

Vor einigen Monaten habe ich von kyrillischen Buchstaben in Spam- und Phishingmails geschrieben, die leicht mit unseren lateinischen verwechselt werden können.¹ Diesen Gedanken haben Ross Anderson und Nicholas Boucher in Ihrem Paper “Trojan Source: Invisible Vulnerabilities” weiter ausgeführt² und auf diverse Compiler, Editoren und Tools in der Softwareentwicklung geschaut.

Das Ergebnis ist niederschmetternd und leider nicht wirklich überraschend. Der Umgang mit Homoglyphen³ steht in vielen Programmiersprachen und Ihren Code-Werkzeugen auf ganz wackeligen Füßen.

Im nachfolgenden Screenshot ist in blau die lateinische Schreibweise des Buchstaben “H” sichtbar und in rot die kyrillische Unicode-Schreibweise.

Besonders die vermeintlich modernen Code-Editoren scheitern an der bidirektionalen Unicode-Schreibrichtung⁴. Was helfen tolle, bunte Emoticons im Quelltext wenn dem Entwickler oder Auditor etwas anderes angezeigt wird als dem Compiler? Ein Alptraum in jedem Review und ideale Ausgangsbasis für vielfältige Supply-Chain Angriffe, wo ganze Codeblöcke unerkannt an den Compiler gereicht werden.

Meine persönliche Abneigung gegenüber Electron-basierten Apps⁵ wie beispielsweise VS-Code wird durch dieses Paper wieder einmal bestätigt. Selbst Google ist auf den Trichter gekommen und hat sich vom Zeitgeist web-basierter Cross-Platform Anwendungen gelöst. Künftig werden die Google Apps nativ und im Look und Feel der jeweiligen Client-Betriebssysteme sein.⁶

Es ist spannend zu erfahren, an welchen Stellen Homoglyphen für Überraschungen sorgen. Ich denke, die beiden CVEs markieren nur die Spitze eines Eisberges, der sich langsam aus dem Dunkeln vor uns aufbaut.

Stark ist dieser Satz am Ende des Papers:

Compilers that are trivially vulnerable to adversarial text encoding cannot reasonably be described as secure.

In diesem Sinne,
Know your Tools!

Euer Tomas Jakobs