Abo
  • Services:
Anzeige
Wie vertrauenswürdig ist unsere Hardware?
Wie vertrauenswürdig ist unsere Hardware? (Bild: Soeb, Wikimedia Commons)

IMHO: Zertifizierungen sind der falsche Weg

Wie vertrauenswürdig ist unsere Hardware?
Wie vertrauenswürdig ist unsere Hardware? (Bild: Soeb, Wikimedia Commons)

In Firmware versteckte Malware ist ein Problem, Zertifizierungen dürften aber kaum dagegen helfen. Wer vertrauenswürdige Firmware möchte, muss offene Quellen, transparente Audits und reproduzierbare Buildprozesse fordern.

Anzeige

Mein Kollege Nico Ernst forderte jüngst hier in einem Kommentar, Schlussfolgerungen aus den neuen Erkenntnissen über in Firmware versteckte Malware zu ziehen und forderte zertifizierte Firmware-Images. Die Frage, wie sehr wir unserer Hardware vertrauen können, ist ein großes Problem. Aber wenn falsche Lösungen propagiert werden, richtet das möglicherweise mehr Schaden an als es nützt.

Die Problemlage ist bekannt: Was nützt die beste Software, wenn man der Hardware, auf der sie läuft, nicht vertrauen kann? Dabei kommt erschwerend hinzu, dass die auf der Hardware laufenden Firmwares heute immer komplexer und immer mehr werden. Genaugenommen ist es längst nicht mehr korrekt, bei unserer heutigen Hardware von Computern zu sprechen. Vielmehr handelt es sich bei jedem Laptop und jedem Smartphone um ein komplexes Netzwerk von Mini-Computern. Selbst so simple Geräte wie SD-Karten haben eigene Prozessoren und eigene Mini-Betriebssysteme, die für ihre Steuerung zuständig sind.

In all diesen Firmwares können bösartige Hintertüren versteckt sein und - vermutlich sogar das gravierendere Problem - alle diese Firmwares können kritische Sicherheitslücken enthalten.

Bausteine für sichere Firmware

Eigentlich ist klar: Wirklich vertrauen kann man dieser Firmware nur, wenn nachprüfbar ist, was sie tut. Und dafür benötigt man den Quellcode. Ein offener Quellcode alleine sorgt natürlich noch nicht für eine sichere Firmware, aber es ist ein wichtiger erster Schritt.

Die traurige Realität ist jedoch: Firmware mit offenen Quellen muss man heutzutage mit der Lupe suchen. Spricht man Hardwarehersteller darauf an, erhält man üblicherweise immer die gleichen Antworten: Man könne die Firmware überhaupt nicht offenlegen, weil dabei die Rechte von Drittherstellern betroffen seien. Und die unfreie Firmware sei notwendig zum Schutz der Geschäftsgeheimnisse.

Nur - die Frage sei erlaubt - was ist wichtiger: der Schutz der Geschäftsgeheimnisse oder die Sicherheit der IT-Infrastruktur? Wenn Hardwarehersteller diese Frage immer zulasten der Sicherheit beantworten, dann sagt das einiges darüber aus, wo die Probleme zu suchen sind.

Da Nico Ernst die Freigabe der Firmware-Quellcodes für unrealistisch hält, schlägt er stattdessen eine Zertifizierung der Firmware, beispielsweise durch das Bundesamt für Sicherheit in der Informationstechnik (BSI), vor. Doch eine Zertifizierung ist keine Alternative zu offenen Quellen.

Faktorisierbare RSA-Keys und Zufallszahlen mit Hintertür

Zertifizierungen können katastrophal fehlschlagen, wie diverse Beispiele aus der Vergangenheit zeigen. 2013 gelang es einem Team von Kryptographen, private RSA-Schlüssel von taiwanesischen Bürger-Chipkarten zu faktorisieren. Schuld daran war ein fehlerhafter Zufallszahlengenerator. Die Chipkarten waren FIPS- und Common-Criteria-zertifiziert. Was war hier passiert? Die Chipkarten hatten zwar einen zertifizierten Zufallszahlengenerator, dessen Nutzung war aber optional - er wurde schlicht nicht genutzt.

Noch absurder ist eine Episode aus der schier endlosen Geschichte um den NSA-kompromittierten Zufallszahlengenerator Dual EC DRBG. Dieser war einst Teil der FIPS-Zertifizierung und wurde somit auch in OpenSSL eingebaut. Nachdem durch die Snowden-Enthüllungen bekannt wurde, dass es sich bei Dual EC DRBG höchstwahrscheinlich um einen Algorithmus mit einer NSA-Hintertür handelte, wurde er aus OpenSSL entfernt. Dabei stellte man jedoch fest, dass der Algorithmus überhaupt nicht funktioniert hatte.

Nicht nur hatte die Zertifizierung dafür gesorgt, dass ein Algorithmus mit einer Geheimdienst-Hintertür in OpenSSL landete, im Zertifizierungsprozess wurde nicht einmal bemerkt, dass der Algorithmus fehlerhaft implementiert war. Ein doppelter Fehlschlag.

Transparenz und offene Quellcodes 

eye home zur Startseite
Accolade 29. Jan 2015

Hallo, mir ist, bei einem Rootkit Scan mit Spybot, aufgefallen das es hier Warnhinweise...

Moe479 27. Jan 2015

z.b. netzwerkarten bzw. onboard nics, die dinger haben eine eigene, typischerweise auch...

JTR 26. Jan 2015

Aha und das soll dich schützen. Ein allgemein nütziger Verein verklagst du dann als...

Juniper 26. Jan 2015

Der Zeitraum geht vermutlich trozdem in die Trillarden Jahre selbst wenn ich nur einen...

Nocta 26. Jan 2015

Deterministisch lösbar ist es sicher. Du meinst vermutlich, ob es in polynomialzeit von...



Anzeige

Stellenmarkt
  1. Accenture, Stuttgart, Düsseldorf, Frankfurt, München
  2. S. Siedle & Söhne Telefon- und Telegrafenwerke OHG, Furtwangen
  3. WBS Training AG, deutschlandweit (Home-Office)
  4. [bu:st] GmbH, München


Anzeige
Top-Angebote
  1. 3 Monate gratis testen, danach 70€ pro Jahr
  2. 111,00€
  3. der Rabatt erfolgt bei Eingabe des Aktionsartikels in den Warenkorb (Direktabzug)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mehr dazu im aktuellen Whitepaper von Freudenberg IT
  2. Sicherheitskonzeption für das App-getriebene Geschäft
  3. Tipps für IT-Engagement in Fernost


  1. Windows 10 Anniversary Update

    Cortana wird zur alleinigen Suchfunktion

  2. Quartalsbericht

    Amazon schwimmt im Geld

  3. Software

    Oracle kauft Netsuite für 9,3 Milliarden US-Dollar

  4. Innovation Train

    Deutsche Bahn kooperiert mit Hyperloop

  5. International E-Sport Federation

    Alibaba steckt 150 Millionen US-Dollar in E-Sport

  6. Kartendienst

    Daimler-Entwickler Herrtwich übernimmt Auto-Bereich von Here

  7. Killerspiel-Debatte

    ProSieben Maxx stoppt Übertragungen von Counter-Strike

  8. Mehr Breitband für mich (MBfm)

    Telekom-FTTH kostet über 250.000 Euro

  9. Zuckerbergs Plan geht auf

    Facebook strotzt vor Kraft und Geld

  10. Headlander im Kurztest

    Galaktisches Abenteuer mit Köpfchen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Huawei Matebook im Test: Guter Laptop-Ersatz mit zu starker Konkurrenz
Huawei Matebook im Test
Guter Laptop-Ersatz mit zu starker Konkurrenz
  1. Netze Huawei steigert Umsatz stark
  2. Huawei Österreich führt Hybridtechnik ein
  3. Huawei Deutsche Telekom testet LTE-V auf der A9

Xiaomi Mi Band 2 im Hands on: Fitness-Preisbrecher mit Hack-App
Xiaomi Mi Band 2 im Hands on
Fitness-Preisbrecher mit Hack-App
  1. Xiaomi Hugo Barra verkündet Premium-Smartphone
  2. Redmi 3S Xiaomis neues Smartphone kostet umgerechnet 95 Euro
  3. Mi Band 2 Xiaomis neues Fitness-Armband mit Pulsmesser kostet 20 Euro

Amoklauf in München: De Maizière reanimiert Killerspiel-Debatte
Amoklauf in München
De Maizière reanimiert Killerspiel-Debatte

  1. Re: Der Typ hats drauf!

    Seitan-Sushi-Fan | 03:41

  2. Re: Ohne Angabe der zu verlegenden Länge ist der...

    HagbardCeline | 03:35

  3. Re: Gut das ich das updatesystem "deinstalliert...

    Pjörn | 03:31

  4. Re: Updates lassen sehr wohl leicht deaktivieren!

    Mad_D | 03:28

  5. Re: Mit anderen Worten...

    Pjörn | 03:20


  1. 23:26

  2. 22:58

  3. 22:43

  4. 18:45

  5. 17:23

  6. 15:58

  7. 15:42

  8. 15:31


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel