Wintersemester 25/26

Die Vorlesung „Application Management“ bietet eine umfassende Einführung in die Planung, Entwicklung, Bereitstellung, Sicherheit und Wartung von Anwendungen über ihren gesamten Lebenszyklus hinweg. Die Studierenden erhalten ein tiefes Verständnis dafür, wie moderne Anwendungen effizient und sicher verwaltet werden können, um den stetig wachsenden Anforderungen der Softwareentwicklung gerecht zu werden. In der Veranstaltung wird die Bedeutung der Sicherheit in modernen Anwendungen hervorgehoben und ermutigt zu bewährten Praktiken. Sie betont, wie wichtig es ist, robuste Sicherheitsmechanismen in den Entwicklungsprozess zu integrieren, um potenzielle Schwachstellen zu minimieren und Benutzerdaten zu schützen. Weiterhin werden nicht nur technische Aspekte behandelt, sondern auch Aspekte des Managements, hierzu zählen Update-Strategien, Wartungsroutinen und Backup/Recovery-Methoden. Dieses Wissen ist entscheidend, um Anwendungen kontinuierlich funktionsfähig und sicher zu halten.

Die begleitende Übung zur Vorlesung „Application Management“ vertieft das in den Vorlesungen erworbene Wissen. Studierende haben die Möglichkeit, praktische Anwendungsfälle zu bearbeiten und ihr Verständnis für die Konzepte des Application Managements zu vertiefen.

Die zunehmende Vernetzung eingebetteter Systeme (z. B. in Fahrzeugen, Industrieanlagen oder Smart-Home-Geräten) bringt große Chancen, aber auch hohe Sicherheitsanforderungen mit sich. Herkömmliche Testmethoden stoßen an Grenzen: Software-Instrumentierung bremst die Performance, Code-Reviews übersehen Laufzeitfehler, und manuelle Tests decken nicht alle Angriffspfade ab. Ziel des Projekts ist die Entwicklung eines nicht-invasiven Fuzzers für ARM-basierte Systeme, der über Debugging-Schnittstellen Schwachstellen effizient aufdeckt – ohne Software-Emulation (Hardware-in-the-Loop). Eine Fuzzing-Engine generiert Testeingaben basierend auf Instruction Traces, während die Auswertung in der ARM TrustZone erfolgt. Dabei lernen die Studierenden, wie man Fuzzing mit ARM-Tracing praktisch umsetzt, Debugging-Schnittstellen für ein effizientes, hardwaregestütztes Fuzzing nutzt, wie man Trace-Daten in Echtzeit analysiert und wie man die ARM TrustZone nutzt. Das Projekt bietet einen Einstieg in die Sicherheit eingebetteter Systeme ohne Hardware-Vorkenntnisse und zeigt, wie sich Firmware automatisiert auf Schwachstellen prüfen lässt.

The seminar in the winter term 2025/2026 will be on hot topics in computer security based on two recent top security conferences:  Usenix Security 2025 and ACM CCS2025. This seminar series aims at allowing students to explore computer security research presented on top conferences, i.e., taking a deep dive in recent research and gaining insights in the computer security research community.

Please note that this seminar will be in English: students are required to write their seminar work in English and give an oral presentation in English.

There will be 4 mandatory meetings throughout the semester. Every meeting is mandatory; students cannot pass the seminar if they miss any of these meetings. The first meeting is the kick-off meeting on Thursday, October 9th at 13 am in S-E 008. The dates of the three remaining meetings will be announced in the kick-off meeting.

The procedure is as follows:

1. Students join the kick-off meeting on Thursday, 9th October at 13am in (S-E 008) (no pre-registration is required). We offer 20 spots for students. Should there be too many applicants, we will randomly chose the participants.
2. Until Monday, 13th October EOD students select three sessions of the two conferences. Students provide a ranking preference of the selected sessions and submit their sessions.
3. Next, the seminar organizers assign one session to each student.
4. Meeting 2 (beginning of November): students read the papers of their assigned session and pick two papers they would like to choose for their seminar work. During the meeting, they provide a summary of the papers in their sessions and argue their motivation for their selection of the two papers.
5. Meeting 3 (beginning of December): In the last weeks, the students have clearly understood their papers and read related work. In this meeting, the students present the structure of their seminar work and provide insights on what they learned from the two papers. It is especially required to start a balanced discussion of the research results presented in this paper. All the students engage in a discussion on the papers, helping each student to determine the key points which need to be considered in the seminar work.
6. Meeting 4 (mid of February): Oral presentation of the seminar work and submission of the seminar work.

Die Studierenden lernen Methoden des wissenschaftlichen Arbeitens und sind in der Lage eigenständig ein Themengebiet auf Basis von wissenschaftlichen Veröffentlichungen zu erarbeiten. Durch die Seminararbeit lernen die Studierenden ein wissenschaftliches Thema zusammenzufassen sowie wissenschaftliche Publikationen zu systematisieren und bewerten. Die Studierenden üben die Präsentation über ein wissenschaftliches Themengebiet in Form der Abschlusspräsentation.

The bachelor project in the winter term 25/26 is on hot topics in computer security based on the two A* Conferences (TBA). Both conferences are top-tier security conferences that provide a dedicated evaluation process on artifacts that are submitted in addition to the scientific paper. Our course allows students to do a bachelor project within the scope of computer security research published on top conferences, i.e., taking a deep dive in recent research implementation projects and evaluation data.

Please note that this course will be in English: students are required to write their project report in English and give an oral presentation in English.

We will only be accepting 10 students for the Bachelor project. Should there be too many applicants, we will randomly choose the participants.

There will be 4 mandatory meetings throughout the semester. Every meeting is mandatory; students cannot pass the bachelor project if they miss any of these meetings. The first meeting is the kick-off meeting on Thursday, October 23rd at 13:00 in SE-008. The dates of the remaining meetings will be fixed in October.

The procedure is as follows:

1. Students join the kick-off meeting on Thursday, October 23rd at 13:00 in SE-008 (no pre-registration is required).
2. Our chair will publish a selected list of artifacts (in Moodle) from the above conferences.
3. Until October 29th EOD (end of day) students select and submit three artifacts from that list. Students also provide a ranking preference of the selected artifacts.
4. Next, the course organizers assign one artifact to each student.
5. Before the next meeting, students read the paper and get familiar with the artifact. Students should also test the artifacts, trying to partially reproduce the result of the paper. Reach out to your supervisor if you need help in getting the artifact running. After running the artifact, the students think of ideas to advance the artifacts or concepts of the paper in useful directions.
6. Meeting 2 (mid of Nov): During the meeting, students provide a summary of the paper and also provide a very general overview of what the artifact includes: which components have been implemented? If applicable, what kind of evaluation data includes the artifact? What hasn't been provided in the artifact? Further, the students propose the ideas that they aim to implement throughout the project.
7. Between Meeting 2 and 3, the students flesh out their vision for this project and start implementing. If they are stuck, they reach out to their supervisor.
8. Meeting 3 (mid of Dec): The students present their detailed plan and ongoing implementation efforts. Additionally, the students lay out how they plan to evaluate their artifact additions.
9. Meeting 4: (end of Jan): Oral presentation of the project work and submission of the project paper.

Please note that the topics mentioned above often deal with system-level software and hardware aspects (operating system code, low-level code such as C code, Ethereum bytecode, and x86 or ARM assembly instructions). We recommend choosing the Bachelor project "Secure Software Systems" only if you are willing to deal with system-level programming techniques, meaning that you are ready to learn and apply these techniques within the scope of the project.

Unsere Themen richten sich an aktuellen Forschungsthemen der IT-Sicherheit (insbesondere Systemsicherheit). Die besten IT-Sicherheitstagungen (A*-Konferenzen) sind nachfolgend aufgeführt. Über das Uni-Netzwerk können Sie für alle der genannten Konferenzen die wissenschaftliche Artikel (die sogenannten Papers) kostenlos herunterladen und sich die Vortragsvideos anschauen. Beachten Sie, dass für dieses Bachelorprojekt unterschiedliche Konferenzen von unterschiedlicher Relevanz sind. Die anderen Konferenzen können aber für Hintergrundinformationen zum Thema Computer Security gerne herangezogen werden.

• IEEE Security and Privacy Symposium (IEEE S&P)
• ACM Conference on Computer and Communications Security (CCS)
• USENIX Security Symposium
• ISOC Network and Distributed System Security Symposium (NDSS)

Theoretische und praktische Übungen zur Vorlesung Secure Software Systems.

In dieser Vorlesung erhalten die Studierenden einen Überblick über aktuelle Forschung, Angriffstechniken und Abwehrmethoden im Bereich der Software- und Systemsicherheit. Es werden Sicherheitsprobleme und Schutztechnologien auf Applikations- und Betriebssystemebene für unterschiedliche Rechnerarchitekturen (Desktop PCs, mobile und eingebettete Systeme) analysiert. Ein besonderer Fokus dieser Vorlesung ist die Verwundbarkeit von Softwaresystemen gegenüber Laufzeitangriffen (Exploits). Ziel der Vorlesung ist sowohl das Verständnis von modernen, praktischen Angriffstechniken gegen Softwaresysteme als auch die Entwicklung und Anwendung von Sicherheitstechnologien für Softwaresysteme. Die Vorlesung umfasst folgende Themenschwerpunkte:

• Konventionelle und fortgeschrittene Software Exploittechniken (Buffer Overflow, Return-Oriented Programming)
• Entwicklung von Sicherheitstechnologien zur Detektion und Prävention von Software Exploits (Programmfluss-Integrität, Speicherrandomisierung)
• Software Fault Isolation und Application Sandboxing
• Betriebssystemsicherheit und Zugriffsmodelle mit praktischen Beispielen anhand von Sicherheitsarchitekturen in Multics, Android und Windows
• Trusted Computing Konzepte
• Hardware-basierte Konzepte zur Unterstützung von Softwaresicherheit

Die Studierenden kennen die wichtigsten Klassen von Angriffstechniken und Abwehrmethoden im Bereich der Softwaresicherheit von der Applikationsebene bis zum Betriebssystem. Sie besitzen fundierte Kenntnisse in der Entwicklung von Angriffstechniken auf Softwaresystemen und sind in der Lage konkrete Verfahren zur Härtung von Softwaresystemen gegen fortgeschrittene Softwareangriffe anzuwenden. Sie kennen hardware-basierte Verfahren zur Durchsetzung von Softwaresicherheit und kennen die aktuelle Forschung und Problemstellungen bezüglich der Entwicklung von sicheren Softwaresystemen. Zusätzlich beherrschen sie die Konzepte von Softwarebasierten Angriffstechniken und Abwehrmethoden für verschiedenen Rechnerplattformen.

• W. Stallings, L. Brown: Computer Security: Principles and Practice, Prentice Hall, 2014
• M. Bishop: Computer Security: Art and Science, Pearson Education, 2015
• T. Jaeger: Operating System Security, Morgan & Claypool, 2008
• C. Anley, J. Heasman, F. Lindner, G. Richarte: The Shellcoder's Handbook: Discovering and Exploiting Security Holes, Wiley, 2007
• L. Davi: Building Secure Defenses Against Code-Reuse Attacks, Springer, 2015
• R. Anderson. Security Engineering: A Guide to Building Dependable Distributed Systems, Wiley, 2008
• Aktuelle wissenschaftliche Publikationen von einschlägigen Sicherheitstagungen (werden in der Vorlesung bekannt gegeben)

mündlich