MitteilungVeröffentlicht am 8. Juni 2023

Aufruf für die Cyber Startup Challenge 2023

Der Cyber-Defence (CYD) Campus, armasuisse Wissenschaft und Technologie, ist auf der Suche nach innovativen Technologien. Hierfür lanciert er bereits zum dritten Mal eine Cyber Startup Challenge. Das Thema: Smartphone-Sicherheit. Anmeldungen sind bis zum 31. August 2023 möglich.

Standorte CYD Campus — © VBS

• Über die Cyber Startup Challenge

  Das Ziel der Cyber Startup Challenge 2023 ist es, die Startup-Technologielandschaft rund um das Thema «Smartphone-Sicherheit» zu sondieren und dabei dem Eidgenössischen Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) innovative Technologien vorzustellen.

  Unternehmen sind eingeladen, sich für die Challenge anzumelden und ihre Lösungen einzureichen. Die drei Startups mit den vielversprechendsten Lösungsansätzen dürfen ihre Idee an der Cyber-Defence Campus Konferenz am 26. Oktober 2023 in Bern präsentieren.

  Eine Jury, bestehend aus Expertinnen und Experten sowie Interessensvertretern des VBS, wird am Ende der Konferenz ein Unternehmen zum Gewinner der Startup Challenge küren. Der Sieger erhält einen Vertrag im Wert von bis zu CHF 100‘000 für die Integration eines Machbarkeitsnachweises seiner Technologie in die VBS-Umgebung.

  Diese Challenge ist keine Ausschreibung sondern eine Markterkundung. Vielversprechende Technologien werden identifiziert, welche die Anforderungen des Verteidigungsdepartements am besten erfüllen.

• Was wir suchen

  Wir suchen nach neuartigen Lösungen im Bereich der Smartphone-Sicherheit. Die Technologie muss noch nicht voll ausgereift sein, aber ein überzeugender Proof of Concept (PoC) sollte innerhalb eines Jahres und mit weniger als CHF 100'000.- realisierbar sein.

  Ziel ist es, dass die Technologie dabei hilft, die Sicherheit von Smartphone-Anwendungen von Drittanbietern und deren potenzielle Bedrohungen effizient und umfassend zu analysieren. Zudem sollen Anwendungen getestet werden, die in einem unveränderten (nicht gerooteten) Betriebssystem laufen, und gleichzeitig dynamische Testmöglichkeiten bieten.

  Nachfolgend sind einige Beispiele von Technologien zur Sicherheit von Smartphones aufgelistet, welche von Interesse sind. Wir freuen uns aber auch auf verwandte Technologien, welche nicht aufgelistet sind.

  Beispiel: Black-Box-Tests
  Testen einer Anwendung ohne Dekompilierung, Reverse Engineering oder Einblick in ihren internen Code oder ihre Struktur. Die Tests werden durch Interaktion mit der Benutzeroberfläche (User Interface, UI) und durch Beobachtung der Interaktion der Anwendung mit dem Netzwerk oder dem Gerät durchgeführt, um bösartiges Verhalten zu erkennen. Ein möglicher Ansatz wäre die Verwendung von Deep Reinforcement Learning zur Vorhersage von Anwendungsinteraktionen, zur Erkennung von UI-Elementen oder zur Generierung von Eingaben für das Ausfüllen von Formularen oder Anmeldungen.

  Beispiel: Benutzerdatenschutz mit Black-Box-Tests
  Einsatz von Black-Box-Tests von Anwendungen um Risiken für die Privatsphäre der Nutzerinnen und Nutzer zu ermitteln wie beispielsweise die Erkennung gefährlicher Berechtigungen, die den Anwendungen gewährt werden (z. B. Auslesen des Telefonstatus, genaue Standortbestimmung, usw.). Mit Hilfe von «Black-Box»-Prüfungen könnte festgestellt werden, ob die Berechtigungen einer Anwendung (durch Ausnutzung einer legitimen Anwendung oder durch die schädliche Anwendung selbst) gegenüber der angegebenen Funktionalität in gefährlicher Weise ausgeweitet wurden.

  Beispiel: Dynamische Anwendungstests
  Die Anwendung wird vollautomatisch getestet, während sie ausgeführt wird. Neben Black-Box-Tests gibt es weitere Möglichkeiten, Anwendungen dynamisch mit oder ohne Verwendung der Benutzerschnittstelle zu testen. Ein Beispiel wäre das sogenannte Fuzzing oder andere dynamische Analysetechniken.

  Beispiel: Betriebssystem -Tests
  Das Ziel könnte darin bestehen, das Standardbetriebssystem auf einem Smartphone zu testen. Dabei soll bösartiges oder unbeabsichtigtes Verhalten des Betriebssystems oder der standardmässig installierten Anwendungen erkannt werden. Die Tests könnten durch die Interaktion mit der Benutzeroberfläche durchgeführt werden oder durch die Erkennung von Änderungen, die durch Anwendungen verursacht werden, wie z. B. die Änderung von Berechtigungen oder anderen Eigenschaften.

• Was wir nicht suchen

  Wir suchen keine Lösungen, die wesentliche Änderungen der Infrastruktur erfordern oder Risiken bergen könnten. Wir sind nicht an Konzepten, Studien oder an Lösungen interessiert, die sich in einem sehr frühen Entwicklungsstadium befinden. Wir sind nicht an Beratungsvorschlägen oder nicht-technischen Lösungen interessiert.

• Allgemeine Bedingungen für die Herausforderung

• Die Gründung des Startups ist per Oktober 2023 jünger als sieben Jahre
• Die Gründer/i-nnen sind nach wie vor Investoren oder Investorinnen und aktiv
• Das Unternehmen hat mindestens drei Angestellte, darunter aktive Gründe
• Der Finalist der Challenge erhält einen Vertrag zur Integration des Machbarkeitsnachweises der Technologie im VBS
• Der gewonnene Vertrag hat einen Wert von maximal CHF 100‘000.-. Der Wert richtet sich nach dem erforderlichen Arbeitsaufwand zur Integration des Machbarkeitsnachweise
• Der Machbarkeitsnachweis wird durch den Cyber-Defence Campus unterstützt
• Diese Challenge ist weder ein Preisausschreiben noch eine Ausschreibung. Es ist eine Marktforschungs-Challenge für die Suche nach einer vielsprechenden Technologie, die den Ansprüchen des VBS rund um die Bedrohung durch Cyber-Spionage am besten gerecht wird. Die Teilnahme der Unternehmen ist freiwillig.
• Der Machbarkeitsnachweis hat nicht zum Ziel, im Betrieb effektiv umgesetzt zu werden
• Jegliche Akquisition wird über eine Ausschreibung erfolgen, und der Machbarkeitsnachweis ist keine Garantie für ein zusätzliches Mandat oder einen Kauf
• Alle Unternehmen, die an der Challenge teilnehmen, d. h. nicht nur das siegreiche Unternehmen, werden in eine Ausschreibung und weitere Challenges miteinbezogen
• Das Unternehmen ist bereit, die Allgemeinen Geschäftsbedingungen der Schweizerischen Eidgenossenschaft (AGB) ohne Vorbehalt zu akzeptieren. Anbieter, die Änderungen (Ergänzungen/Anpassungen) anbringen, werden von der Challenge ausgeschlossen.

Auswahlkriterien

Technologie steht im Zusammenhang mit Smartphone-Sicherheit

Technologische Relevanz und Nutzbarkeit für die Schweizer Armee

Machbarkeit des Projekts

Innovationsfaktor und Wirkungspotenzial für die Schweizer Armee

Tragfähigkeit des Technologiekonzepts

Doppelte Verwendung (zivil, militär)

Unternehmen aus der Schweiz werden höher bewertet; die Neugründung kann jedoch international sein.