Balazs Kiss

Spezialist für Softwaresicherheit | Dozent am High Tech Institute | Leiter der Produktentwicklung bei Cydrill Software Security

Balázs Kiss ist ein ungarischer Spezialist für Softwaresicherheit mit mehr als fünfzehn Jahren Erfahrung in den Bereichen Anwendungssicherheit, Sicherheitstests, sicheres Programmieren und Sicherheit im Bereich des maschinellen Lernens. Er ist Leiter der Produktentwicklung und leitender Ausbilder bei Cydrill Software Security in Budapest sowie Ausbilder am High Tech Institute in Eindhoven, wo er den Lehrplan des Instituts im Bereich Softwaresicherheit vermittelt. Er verfügt über einen Master of Science (MSc) in Technischer Informatik der Technischen und Wirtschaftswissenschaftlichen Universität Budapest mit dem Schwerpunkt Sicherheit von Informationssystemen.

Herr Kiss begann seine berufliche Laufbahn im Jahr 2003 als Entwickler und Datenbankadministrator beim Ungarischen Bergbauamt, bevor er 2008 in die angewandte Sicherheitsforschung beim SEARCH-Lab wechselte, einem in Budapest ansässigen Forschungs- und Beratungsunternehmen für Softwaresicherheit. Dort war er mehr als ein Jahrzehnt lang als leitender Forschungs- und Entwicklungsingenieur, Projektmanager und Experte für Anwendungssicherheit tätig und wirkte an internationalen EU-Forschungsprojekten mit, darunter am FP7-Projekt „Aniketos“ zum Thema Vertrauen und Sicherheit in dienstbasierten Systemen. Er war Mitautor zweier begutachteter Konferenzbeiträge: „Combining Static and Dynamic Analyses for Vulnerability Detection“ (Haifa Verification Conference 2015, gemeinsam mit Mitautoren von CEA und Dassault) und „MEFORMA Security Evaluation Methodology“ (PECCS 2014). Er trat 2011 als leitender Trainer und Entwicklungsleiter bei der SCADEMY Secure Coding Academy ein und wechselte 2019 bei der Gründung des Unternehmens zu Cydrill.

Ausgewählte Veröffentlichungen

Kiss, B.; Kosmatov, N.; Pariente, D.; Puccetti, A. „Kombination statischer und dynamischer Analysen zur Erkennung von Sicherheitslücken: Ein Beispiel anhand von Heartbleed.“ Haifa Verification Conference (HVC) 2015, S. 39–50. DOI: 10.1007/978-3-319-26287-1_3.

Jeges, E.; Berkes, B.; Kiss, B.; Eberhardt, G. „MEFORMA-Methodik zur Sicherheitsbewertung – Eine Fallstudie.“ PECCS 2014, S. 267–274. DOI: 10.5220/0004919902670274.

Das zentrale Argument in Kiss’ Schulungen lautet, dass Softwaresicherheit nicht deshalb versagt, weil Entwickler nachlässig sind, sondern weil ihnen nie beigebracht wird, sich damit auseinanderzusetzen. Die meisten Entwickler lernen, Code zu schreiben, der funktioniert; niemand bringt ihnen bei, Code zu schreiben, der nicht ausgenutzt werden kann. Die Folgen zeigen sich erst später und sind mit weitaus höheren Kosten verbunden: Eine Schwachstelle, deren Ausnutzung nur wenige Minuten dauert und die bei einer Sicherheitsüberprüfung innerhalb von Sekunden entdeckt werden kann, kann Monate an Behebungsarbeit kosten, wenn sie in die Produktion gelangt. Das Schreiben von sicherem Code ist eine Fähigkeit, die erlernt werden kann und die mit der richtigen Schulung ebenso automatisch wird wie jede andere Programmiergewohnheit. Das Ziel seiner Kurse ist es, diese Gewohnheit zu etablieren, bevor die Schwachstelle geschrieben wird – und nicht erst, nachdem sie entdeckt wurde.

Sein Lehransatz basiert auf dem, was er als „Angreifer-Denkweise“ bezeichnet: Es geht nicht nur darum zu verstehen, wie der korrekte Code aussieht, sondern auch, warum die fehlerhafte Version ausnutzbar ist und wie ein Angreifer sie genau ausnutzen würde. Jedes Schwachstellenmuster in seinen Kursen wird mit einer funktionierenden Exploit-Demonstration kombiniert, sodass die Teilnehmer den Angriff erleben, bevor sie die Abwehrmaßnahmen erlernen. Teilnehmer, die seine Kurse besucht haben, berichten, dass sie danach in der Lage sind, Schwachstellenklassen zu erkennen, die ihnen in ihrem eigenen Code zuvor nie aufgefallen waren.

Auf dem „We Are Developers World Congress“ in Berlin präsentierte er unter dem Titel „A hundred ways to wreck your AI“ und zeigte dabei, wie ein selbstfahrendes Auto dazu gebracht werden kann, ein Stoppschild zu ignorieren, wie eine Überwachungskamera gegenüber einem Eindringling „blind“ gemacht werden kann und wie eine medizinische KI dazu veranlasst werden kann, eine tödliche Dosis zu verschreiben. Dieselbe Taxonomie von Angriffen – Umgehung, Vergiftung, Modellinversion und Modelldiebstahl – bildet das Rückgrat seines Kurses „Machine Learning Security “. In jüngerer Zeit hat er eine Reihe von Kursen zum verantwortungsvollen Einsatz generativer KI in der Softwareentwicklung entwickelt, die sich mit den neuen Schwachstellenklassen befassen, die durch LLM-generierten Code eingeführt wurden, sowie mit den OWASP LLM Top 10.

Am High Tech Institute unterrichtet Balázs Kiss einen Großteil des Lehrplans im Bereich Softwaresicherheit, darunter sicheres Programmieren in Python, C/C++, Java und C#, Sicherheit im Bereich des maschinellen Lernens sowie den verantwortungsvollen Einsatz generativer KI in der Softwareentwicklung.

Was seinen Unterricht auszeichnet, ist die Kombination aus mehr als fünfzehn Jahren angewandter Sicherheitsforschung und -tests bei SEARCH-Lab und Cydrill, einem Lehrplan, der kontinuierlich aktualisiert wird, um aktuelle Angriffstechniken und die neuesten OWASP-Leitlinien zu berücksichtigen, sowie einem Ansatz mit Live-Demonstrationen, der die Folgen unsicheren Codes unmittelbar sichtbar macht, anstatt sie nur hypothetisch darzustellen.

Balázs Kiss ist Leiter der Produktentwicklung und leitender Schulungsleiter bei Cydrill Software Security in Budapest, Ungarn, sowie Dozent am High Tech Institute. Er verfügt über einen Master of Science (MSc) in Technischer Informatik der Technischen und Wirtschaftswissenschaftlichen Universität Budapest mit Spezialisierung auf die Sicherheit von Informationssystemen. Er hat an Sicherheitsforschungsprojekten im Rahmen des 7. EU-Forschungsrahmenprogramms (FP7) mitgewirkt und ist Autor von begutachteten Konferenzbeiträgen zur statischen und dynamischen Schwachstellenanalyse.