Abo
  • Services:
Anzeige
Wie vertrauenswürdig ist unsere Hardware?
Wie vertrauenswürdig ist unsere Hardware? (Bild: Soeb, Wikimedia Commons)

IMHO: Zertifizierungen sind der falsche Weg

Wie vertrauenswürdig ist unsere Hardware?
Wie vertrauenswürdig ist unsere Hardware? (Bild: Soeb, Wikimedia Commons)

In Firmware versteckte Malware ist ein Problem, Zertifizierungen dürften aber kaum dagegen helfen. Wer vertrauenswürdige Firmware möchte, muss offene Quellen, transparente Audits und reproduzierbare Buildprozesse fordern.

Anzeige

Mein Kollege Nico Ernst forderte jüngst hier in einem Kommentar, Schlussfolgerungen aus den neuen Erkenntnissen über in Firmware versteckte Malware zu ziehen und forderte zertifizierte Firmware-Images. Die Frage, wie sehr wir unserer Hardware vertrauen können, ist ein großes Problem. Aber wenn falsche Lösungen propagiert werden, richtet das möglicherweise mehr Schaden an als es nützt.

Die Problemlage ist bekannt: Was nützt die beste Software, wenn man der Hardware, auf der sie läuft, nicht vertrauen kann? Dabei kommt erschwerend hinzu, dass die auf der Hardware laufenden Firmwares heute immer komplexer und immer mehr werden. Genaugenommen ist es längst nicht mehr korrekt, bei unserer heutigen Hardware von Computern zu sprechen. Vielmehr handelt es sich bei jedem Laptop und jedem Smartphone um ein komplexes Netzwerk von Mini-Computern. Selbst so simple Geräte wie SD-Karten haben eigene Prozessoren und eigene Mini-Betriebssysteme, die für ihre Steuerung zuständig sind.

In all diesen Firmwares können bösartige Hintertüren versteckt sein und - vermutlich sogar das gravierendere Problem - alle diese Firmwares können kritische Sicherheitslücken enthalten.

Bausteine für sichere Firmware

Eigentlich ist klar: Wirklich vertrauen kann man dieser Firmware nur, wenn nachprüfbar ist, was sie tut. Und dafür benötigt man den Quellcode. Ein offener Quellcode alleine sorgt natürlich noch nicht für eine sichere Firmware, aber es ist ein wichtiger erster Schritt.

Die traurige Realität ist jedoch: Firmware mit offenen Quellen muss man heutzutage mit der Lupe suchen. Spricht man Hardwarehersteller darauf an, erhält man üblicherweise immer die gleichen Antworten: Man könne die Firmware überhaupt nicht offenlegen, weil dabei die Rechte von Drittherstellern betroffen seien. Und die unfreie Firmware sei notwendig zum Schutz der Geschäftsgeheimnisse.

Nur - die Frage sei erlaubt - was ist wichtiger: der Schutz der Geschäftsgeheimnisse oder die Sicherheit der IT-Infrastruktur? Wenn Hardwarehersteller diese Frage immer zulasten der Sicherheit beantworten, dann sagt das einiges darüber aus, wo die Probleme zu suchen sind.

Da Nico Ernst die Freigabe der Firmware-Quellcodes für unrealistisch hält, schlägt er stattdessen eine Zertifizierung der Firmware, beispielsweise durch das Bundesamt für Sicherheit in der Informationstechnik (BSI), vor. Doch eine Zertifizierung ist keine Alternative zu offenen Quellen.

Faktorisierbare RSA-Keys und Zufallszahlen mit Hintertür

Zertifizierungen können katastrophal fehlschlagen, wie diverse Beispiele aus der Vergangenheit zeigen. 2013 gelang es einem Team von Kryptographen, private RSA-Schlüssel von taiwanesischen Bürger-Chipkarten zu faktorisieren. Schuld daran war ein fehlerhafter Zufallszahlengenerator. Die Chipkarten waren FIPS- und Common-Criteria-zertifiziert. Was war hier passiert? Die Chipkarten hatten zwar einen zertifizierten Zufallszahlengenerator, dessen Nutzung war aber optional - er wurde schlicht nicht genutzt.

Noch absurder ist eine Episode aus der schier endlosen Geschichte um den NSA-kompromittierten Zufallszahlengenerator Dual EC DRBG. Dieser war einst Teil der FIPS-Zertifizierung und wurde somit auch in OpenSSL eingebaut. Nachdem durch die Snowden-Enthüllungen bekannt wurde, dass es sich bei Dual EC DRBG höchstwahrscheinlich um einen Algorithmus mit einer NSA-Hintertür handelte, wurde er aus OpenSSL entfernt. Dabei stellte man jedoch fest, dass der Algorithmus überhaupt nicht funktioniert hatte.

Nicht nur hatte die Zertifizierung dafür gesorgt, dass ein Algorithmus mit einer Geheimdienst-Hintertür in OpenSSL landete, im Zertifizierungsprozess wurde nicht einmal bemerkt, dass der Algorithmus fehlerhaft implementiert war. Ein doppelter Fehlschlag.

Transparenz und offene Quellcodes 

eye home zur Startseite
Accolade 29. Jan 2015

Hallo, mir ist, bei einem Rootkit Scan mit Spybot, aufgefallen das es hier Warnhinweise...

Moe479 27. Jan 2015

z.b. netzwerkarten bzw. onboard nics, die dinger haben eine eigene, typischerweise auch...

JTR 26. Jan 2015

Aha und das soll dich schützen. Ein allgemein nütziger Verein verklagst du dann als...

Juniper 26. Jan 2015

Der Zeitraum geht vermutlich trozdem in die Trillarden Jahre selbst wenn ich nur einen...

Nocta 26. Jan 2015

Deterministisch lösbar ist es sicher. Du meinst vermutlich, ob es in polynomialzeit von...



Anzeige

Stellenmarkt
  1. SYNLAB Holding Deutschland GmbH, Augsburg
  2. Bernecker + Rainer Industrie-Elektronik GmbH, Essen
  3. FERCHAU Engineering GmbH, Hamburg
  4. User Interface Design GmbH, Mannheim


Anzeige
Blu-ray-Angebote
  1. 19,99€ (Vorbesteller-Preisgarantie)
  2. 9,99€
  3. (u. a. Interstellar 8,99€, Django Unchained 8,99€, Das Leben des Brian 7,99€)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitskonzeption für das App-getriebene Geschäft
  2. Mehr dazu im aktuellen Whitepaper von IBM
  3. Mit digitalen Workflows Geschäftsprozesse agiler machen


  1. Videocodec

    Für Netflix ist H.265 besser als VP9

  2. Weltraumforschung

    DFKI-Roboter soll auf dem Jupitermond Europa abtauchen

  3. World of Warcraft

    Sechste Erweiterung Legion ist online

  4. Ripper

    Geldautomaten-Malware gibt bis zu 40 Scheine aus

  5. Europäische Union

    Irlands Steuervorteile für Apple sollen unzulässig sein

  6. Linux-Paketmanager

    RPM-Entwicklung verläuft chaotisch

  7. Neuseeland

    Kim Dotcom überträgt Gerichtsverhandlung im Netz

  8. Leitlinien vereinbart

    Regulierer schwächen Vorgaben zu Netzneutralität ab

  9. Kartendienst

    Microsoft und Amazon könnten sich an Here beteiligen

  10. Draufsicht

    Neuer 5er BMW mit Überwachungskameras



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Lernroboter-Test: Besser Technik lernen mit drei Freunden
Lernroboter-Test
Besser Technik lernen mit drei Freunden
  1. Kinderroboter Myon Einauge lernt, Einauge hat Körper
  2. Landwirtschaft 4.0 Swagbot hütet das Vieh
  3. Künstliche Muskeln Skelettroboter klappert mit den Zähnen

Mobilfunk: Eine Woche in Deutschland im Funkloch
Mobilfunk
Eine Woche in Deutschland im Funkloch
  1. Netzwerk Mehrere regionale Mobilfunkausfälle bei Vodafone
  2. Hutchison 3 Google-Mobilfunk Project Fi soll zwanzigmal schneller werden
  3. RWTH Ericsson startet 5G-Machbarkeitsnetz in Aachen

No Man's Sky im Test: Interstellare Emotionen durch schwarze Löcher
No Man's Sky im Test
Interstellare Emotionen durch schwarze Löcher
  1. No Man's Sky für PC Läuft nicht, stottert, nervt
  2. No Man's Sky Onlinedienste wegen Überlastung offline
  3. Hello Games No Man's Sky bekommt Raumstationsbau

  1. Re: Halbe Milliarde

    ibsi | 12:41

  2. Dark Zero

    cyablo | 12:40

  3. Re: Druckverhältnisse in 100 km Tiefe?

    Vollstrecker | 12:40

  4. Energieversorgung?

    _j_b_ | 12:39

  5. Problem Endgerät

    Stoker | 12:39


  1. 12:31

  2. 12:07

  3. 11:51

  4. 11:25

  5. 10:45

  6. 10:00

  7. 09:32

  8. 09:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel