Sichere Anwendungen mit C und C++

Sicherheitsmodell und Angriffsflächen

• Angriffsflächen nativer Anwendungen erkennen
• Fehler, Schwachstelle und Exploit unterscheiden
• Defense-in-Depth auf Codeebene umsetzen
• Secure Coding im Entwicklungsprozess verankern
• Undefined Behavior als Risiko bewerten

Speicher- und Typfehler

• Stack- und Heap-Overflows analysieren
• Out-of-bounds-Zugriffe früh erkennen
• Use-after-free und Double-free vermeiden
• Nullzeiger sicher behandeln
• Integer-Overflows und Signedness-Fehler prüfen
• Type Confusion nachvollziehen

Eingaben und Schnittstellen

• Externe Daten konsequent validieren
• Längen und Wertebereiche prüfen
• Zeichensätze und Konvertierungen absichern
• Command-Injection in Systemaufrufen verhindern
• SQL-Injection an Datenbankschnittstellen verhindern
• Informationsabfluss bei Fehlern vermeiden

Sichere Implementierung in C und C++

• Unsichere Standardfunktionen ersetzen
• RAII für Ressourcen einsetzen
• Smart Pointer passend auswählen
• Ownership und Lebensdauern modellieren
• Container statt roher Puffer nutzen
• Race Conditions im Code erkennen

Exploit-Verständnis und Codeanalyse

• Stack-Layout und Heap-Verhalten untersuchen
• Return-Address-Overwrite technisch nachvollziehen
• SEH-Angriffe plattformbezogen bewerten
• Heap Spraying und ROP verstehen
• Sanitizer für Laufzeitfehler einsetzen
• Fuzzing für Parser nutzen
• Findings nach Risiko priorisieren

Build-Härtung und sichere Auslieferung

• Compiler-Warnungen konsequent konfigurieren
• Stack-Schutz und Fortify-Optionen wählen
• ASLR, DEP/NX und PIE prüfen
• Kontrollfluss-Härtung plattformbezogen aktivieren
• Release-Builds und Symbole absichern
• Schlüsselmaterial vor Offenlegung schützen
• Security-Tests in CI/CD integrieren
• Secure-Code-Reviews systematisch durchführen

• Gute praktische Kenntnisse in C oder C++
• Erfahrung mit Zeigern, Speicherverwaltung und Debugging
• Grundverständnis von Compilern wie GCC, Clang oder MSVC
• Grundkenntnisse über Prozesse und virtuelle Speicherbereiche
• Für aktuelle C++-Sprachmittel: C++: Neue Features bis C++23

• Softwareentwicklerinnen und Softwareentwickler für native Anwendungen
• Embedded- und Automotive-Teams mit C/C++-Codebasen
• Security Engineers für Codeanalyse und Build-Härtung
• Fachkräfte für Softwarearchitektur systemnaher Komponenten
• Teams, die bestehende native Codebasen härten