TU Graz/ TU Graz/ Services/ News+Stories/

Bugs bekämpfen: Studierende hacken für IT-Security

08.02.2018 | Face to face

Von Ute Wiedner

Im weltweiten Vergleich rangieren „LosFuzzys“ unter den 40 besten Hacker-Wettkampf-Teams. Die Grazer Truppe steht immer auf der guten Seite der Macht und scheut sich nicht vor Meltdown und Spectre.

Das FuzzyLab an der TU Graz ist die soziale Drehscheibe der Los Fuzzys. Hier trifft sich das Team, um für IT-Security-Wettbewerbe zu trainieren, sie zu lösen oder Challenges selbst zu entwickeln.
Fuzzy“ bedeutet unscharf, flauschig. Eine Eigenschaft, die die niedlichen gelben Käfer die Maskottchen der IT-Security Enthusiasten „LosFuzzys“ an der TU Graz – perfekt verkörpern. Sehr fokussiert sind die Studierenden mit der Leidenschaft für Informationssicherheit allerdings, wenn es um ihre Ziele geht: Bei IT-Security Turnieren, in der Fachsprache „Capture the Flag“ (CTF) genannt, wollen sie vorne mit dabei sein – und das bei weltweit sehr großer Konkurrenz. Teammitglieder verstehen „fuzzy“ ohnehin im Sinne offener Grenzen, als Einladung auch an Nicht-Informatik-Studierende oder an Maturantinnen oder Maturanten, mal beim Team vorbeizuschauen. Stefan, Karl und Roman geben im Interview Einblicke in den Alltag der LosFuzzys.

News+Stories: Kürzlich haben Forschende der TU Graz gravierende Sicherheitsprobleme bei Computer-Prozessoren aufgedeckt, Stichwort „Meltdown“ und „Spectre“. Ist es das, was ihr tut – solche Lücken ausforschen?

Stefan: Es geht in diese Richtung, allerdings machen die Forscherinnen und Forscher am Institut für Angewandte Informationsverarbeitung und Kommunikationstechnologie (IAIK) das beruflich und daher deutlich intensiver. Bei LosFuzzys beschäftigen wir uns in der Freizeit mit Sicherheitsproblemen. Das fängt bei Web-Anwendungen, Kryptografie oder bei Netzwerkprotokollen, also der Basis der Informationsübertragung, an und geht bis zur Systemsicherheit auf Ebene der Software oder der Betriebssysteme. Kurz gesagt liegt unser Schwerpunkt darauf, wie die Software tut und wie sie mit der Hardware interagiert. Das Team rund um Meltdown und Spectre am IAIK forscht auch an der Hardware selbst, das kommt bei uns nicht so oft vor.

Um sinnvolle Soft- und Hardware zu bauen, die sicher ist, ist es notwendig zu verstehen, wie jemand vorgehen würde, der sie angreifen will. (Stefan)

Die LosFuzzys beschäftigen sich also ausschließlich mit Software?

Roman: Hauptsächlich, ja. Wenn zukünftig bei einem Wettbewerb jemand eine Meltdown-Attacke als Challenge realisiert – was nicht ganz trivial zu bauen wäre – würden wir uns aber auch damit auseinandersetzen. Grundsätzlich kommen Problemstellungen bei Turnieren aus dem gesamten Bereich der IT-Security. Daher finden sich aktuelle Hot-Topics naturgemäß in Hacker-Wettbewerben wieder.

Stichwort Hacken: Ihr seid die auf der guten Seite der Macht?

Karl: Genau, in der Community reden wir meist von White Hat- und Black Hat-Hackern. Die „Black Hats“ sind die bösen und die „White Hats“ die guten Hacker. Die Begriffe leiten sich von Western ab. Die guten Cowboys und die Sheriffs haben immer die weißen Hüte auf, die bösen die schwarzen (grinst).
Stefan:
Um sinnvolle Soft- und Hardware zu bauen, die sicher ist, ist es notwendig zu verstehen, wie jemand vorgehen würde, der sie angreifen will. Deshalb gibt es konstruktives Hacken – alles im legalen Umfeld. Das ist uns sehr wichtig. Auf der LosFuzzys-Homepage haben wir ein Manifest, das regelt, wie wir uns ethisch verhalten. Das heißt, LosFuzzys als Team beschäftigt sich nur mit dem Eindringen oder Aufbrechen von Systemen, die extra dafür gebaut wurden. Beispielsweise im Zuge von CTF Turnieren oder anderen Trainings. Wir verfolgen das Ziel, zu verstehen und zu lernen, und nicht, Schaden anzurichten.

Ihr seid also ein White Hat-Team, das bei offiziellen Wettbewerben mitmacht. Wie läuft das konkret ab?

Stefan: Es gibt laufend CTFsCapture The Flag-Turniere. Wir machen alle paar Wochen mit. Prinzipiell kann jeder oder jede weltweit sagen, ich veranstalte jetzt ein Turnier. Meist machen das Konferenzen, Firmen, oder andere Teams. Als LosFuzzys machen wir dann zum Beispiel mit, wenn die Problemstellung spannend klingt, oder wenn es etwas zu gewinnen gibt. Bei internationalen Turnieren finden Leute aus aller Welt online zusammen und am Ende gibt es einen High Score, also eine Reihung nach der Punktezahl. In manchen CTFs werden danach die zehn besten Teams an einen Austragungsort eingeladen, wo sie noch einmal gegeneinander antreten. Das Banner da drüben (deutet zur Wand) ist von einem CTF in Paris, für den wir uns letztes Jahr qualifiziert haben. Außerdem waren zwei Leute in Singapur – da waren wir das beste europäische Team. Solche Bewerbe vor Ort sind aber eher die Ausnahme – das meiste läuft online. Bei den gewöhnlichen CTF-Turnieren treffen wir uns im LosFuzzys-Lab oder im IAIK Seminarraum, laden uns die Challenges herunter, beschäftigen uns mit der Problematik, lösen sie, und senden die Lösung ein.
Neun quietschgelbe gehäkelte Käfer sind im Halbkreis um eine Platine angeordnet.
Gemeinsam Spaß zu haben ist den LosFuzzys wichtig - die lustigen gelben Team-Maskottchen sind immer mit dabei. Ob die kleinen Käfer mit dem hohen Kuschelfaktor gar für den Teamnamen Pate gestanden haben ist nicht geklärt. Fuzzy bedeutet jedenfalls unscharf, flauschig.

Wie geht Ihr Challenges im Team an?

Stefan: Die meisten Aufgabenstellungen erfordern intensive Beschäftigung um sie zu lösen, daher arbeiten wir gemeinsam daran. Dabei kommt es bei Wettbewerben sehr stark darauf an, sich auszutauschen und Ideen zu teilen. Im Team ist es viel leichter, sich das nötige Wissen für Challenges anzueignen. Wir sitzen also nicht allein vor einem PC sondern arbeiten gemeinsam. Überhaupt gibt es einen starken sozialen Faktor im Team – und wir haben alle Spaß an der Herausforderung.
Karl:
Extrem spannend und lustig sind beispielsweise kryptografische Challenges, weil das meistens mathematische Rätsel sind. Letztens haben wir zum Beispiel zu viert an einer Challenge gearbeitet. Da schaut sich jeder das Problem an, um einen Überblick zu haben und dann zeichnen wir auf einer Tafel die Struktur auf und reden darüber. Sobald eine Idee entstanden ist, gehen wir zum Computer und probieren diese aus.

Wieviel Zeit bleibt, um eine Challenge zu lösen?

Roman: Challenges laufen meist über 24, 36 oder 48 Stunden, das ist maximal ein Wochenende. Da arbeitet aber nicht das ganze Team ein Wochenende lang an der Lösung - manche Leute treffen sich am Vormittag, manche kommen erst am Nachmittag, am nächsten Tag kommen sie noch einmal. Ein Teammitglied kann sagen, „Cool, ich habe am Sonntag drei Stunden Zeit, ich komme für drei Stunden vorbei.“ Das macht den Einstieg leichter.
Karl:
So habe ich auch angefangen. Dann hat es mich gepackt und ich habe mir mehr Zeit genommen.
Roman:
Das Problem ist, wenn Du kurz vor der Lösung stehst, beißt Du rein und willst nicht mehr aufhören. Dann werden aus drei ganz schnell neun Stunden.
Zwei LosFuzzys-Jungs arbeiten im nächtlichen FuzzyLab gemeinsam am Computer, ein dritter steht daneben und schaut zu.
Bei CTF-Challenges sind LosFuzzys absolut lösungsorientiert. Die Zeit vergeht dann wie im Flug.

Wie können Interessierte LosFuzzys kennenlernen?

Stefan: Wir haben ja außerhalb der Turniere auch viele Aktivitäten wie zum Beispiel seit Herbst das „Fuzzy Land“, ein ständiges Turnier, das wir selbst betreiben. Dort kann man sich die Challenges online ansehen und mitmachen. Das ist für alle Interessierten offen, dazu muss man nicht auf der TU Graz studieren. Man kann dadurch Erfahrung gewinnen, und es ist einfach ein cooler Zeitvertreib.
Roman: Teil der Idee ist natürlich auch, dass man neuen Mitgliedern Challenges zur Verfügung stellt, die man selbst erstellt hat – mit sehr einfachen, anschaulichen Beispielen, um in die Materie einzusteigen. Seit Wintersemester 2017/18 bieten wir auch ein Seminar zum Thema Web Security als offizielle Lehrveranstaltung an. Außerdem gibt es jede Woche mittwochs am Abend eine offene Trainingssession. Die ist auch offen für Leute, die nicht an der TU Graz sind, zum Beispiel auch für Interessierte vor der Matura.

Es kommt auch vor, dass Leute, die noch nicht ihre Matura abgelegt haben schon zu uns kommen. Das wollen wir ausbauen. (Roman)

Welche Eigenschaften müsste ich haben, um im LosFuzzys-Team aufgenommen zu werden?

Roman: Es gibt keine formale Mitgliedschaft. Man sollte neugierig sein, Motivation mitbringen. Man sollte die Bereitschaft haben, sich reinzuhängen und immer neue Sachen zu erlernen. Die meisten Teammitglieder kommen aus der Fakultät für Informatik und Biomedizinische Technik. Aber wir haben auch Studierende aus der Physik dabei, und aus der Elektrotechnik. Die Aufgabenstellungen sind breit gefächert und eine gewisse Streuung ist für uns absolut positiv. Es kommt auch vor, dass Leute, die noch nicht ihre Matura abgelegt haben schon zu uns kommen. Das wollen wir ausbauen.

Fuzzing ist eine Technik zur Softwareanalyse, bei der Zufallszahlen eine Rolle spielen. fuzzy bedeutet auch unscharf, flauschig.

Information

Bei LosFuzzys dreht sich alles um  Informationssicherheit. In Wettbewerben stellen sich die Teams Aufgaben aus der IT-Security, sie finden Sicherheitslücken in Systemen anderer Teams oder suchen nach Sicherheitslücken im eigenen System, um es zu schützen. Auf der weltweiten Plattform der Bewerbe und High Score Listen rangiert das Team 2017 auf Platz 39, unter den österreichischen Teams sogar auf Platz 1.
Aktuelles CTF Ranking
Im „Fuzzy Land“ stellen LosFuzzys selbst entwickelte IT-Security-Challenges zu Übungszwecken zur Verfügung, die auch in der Lehre der TU Graz genutzt werden.
Erfahren Sie mehr über LosFuzzys im Interview für AirCampus Graz, das Podcast-Portal der vier Grazer Universitäten.

Kontakt

LosFuzzys
FuzzyLab
Raum IFEG064
Inffeldgasse 16a
8010 Graz
we@hack.more.systems Twitter: twitter.com/LosFuzzys
Website: hack.more.systems