Abo
  • IT-Karriere:

Cold Boot Attack rebootet: Forscher hebeln Verschlüsselung von Computern aus

Ein alter Angriff neu durchgeführt: Forschern ist es gelungen, den Schutzmechanismus gegen die zehn Jahre alte Cold-Boot-Attacke zu umgehen. Angreifbar sind eingeschaltete verschlüsselte Rechner.

Artikel veröffentlicht am , Moritz Tremmel
Mit Kälte kann man an Daten aus dem Arbeitsspeicher gelangen.
Mit Kälte kann man an Daten aus dem Arbeitsspeicher gelangen. (Bild: Bru-nO/CC0 1.0)

Computer aufschrauben, Kältespray auf den Arbeitsspeicher sprühen, Computer hart rebooten, ein minimales Betriebssystem starten und den kalten Arbeitsspeicher mit den Daten des vorherigen Betriebssystems auslesen: Der Schutzmechanismus gegen diese bereits 2008 vorgestellte Cold-Boot-Attacke kann umgangen werden, wie Forscher des Anti-Viren-Herstellers F-Secure herausgefunden haben. Damit können aus dem Arbeitsspeicher der Rechner Kryptoschlüssel und Passwörter ausgelesen und damit die Verschlüsselung ausgehebelt werden. Gefährdet sind verschlüsselte Geräte, die eingeschaltet sind.

Stellenmarkt
  1. Versicherungskammer Bayern, München
  2. ITC ENGINEERING GMBH & CO. KG, Stuttgart

Die Cold-Boot-Attacke überlistet die Funktionsweise des Arbeitsspeichers, dem DRAM (dynamischen RAM). Er speichert Informationen nur, solange er mit Strom versorgt wird, danach vergisst er die Daten. Die Speicherbereiche beziehungsweise Kondensatoren werden mehrmals in der Sekunde mit neuem Strom aufgefrischt und neu geschrieben. Das macht den DRAM dynamisch. Unter normalen Bedingungen kann der Arbeitsspeicher seine Informationen mindestens 64 Millisekunden ohne erneute Stromzufuhr speichern. Unter extremen Bedingungen kann die Zeit allerdings deutlich abweichen: Bei -50°C kann der Arbeitsspeicherinhalt bis zu mehreren Minuten erhalten bleiben. Diesen Fakt nutzt die Cold-Boot-Attacke aus. In dem kurzen Zeitraum, in dem die Daten erhalten bleiben, werden sie mit einem anderen Betriebssystem ausgelesen.

Der Schutzmechanismus der PC-Hersteller verhindert den Angriff durch das Leeren des Arbeitsspeichers während des Boot-Prozesses. Allerdings geschieht dies nur, wenn vor dem Bootvorgang ein memory overwrite request (MOR) im nichtflüchtigen Speicher der Firmware gesetzt ist. Diese Information hinterlegt die Firmware bei jedem Bootvorgang, das Betriebssystem kann den MOR jedoch zurücksetzen, sofern es eine Löschung des Arbeitsspeichers für nicht notwendig erachtet, zum Beispiel, weil es alle relevanten Informationen aus dem Arbeitsspeicher gelöscht hat. An diesem Punkt setzen die Forscher von F-Secure an. Sie überschreiben den MOR, der Arbeitsspeicher wird beim nächsten Reboot nicht gelöscht. Damit kann eine klassische Cold-Boot-Attacke wieder durchgeführt werden.

Angreifer brauchen physischen Zugriff

Angegriffen werden können eingeschaltete verschlüsselte Geräte, auch im Bereitschaftsmodus (Suspend to RAM). Um eine Cold-Boot-Attacke durchführen zu können, brauchen die Angreifer physischen Zugriff auf das Gerät. Das Geräte oder Teile davon müssen beispielsweise mit Kältespray heruntergekühlt werden. Die Daten werden binnen Sekunden oder Minuten ausgelesen. Ganz trivial ist das nicht, aber technisch möglich und umsetzbar. Möglich ist auch, den heruntergekühlten Arbeitsspeicher auszubauen und auf einem anderen System auszulesen, sofern er nicht fest verbaut ist. Hierfür muss der Schutzmechanismus gegen die Cold-Boot-Attacke nicht umgangen werden.

Die Verschlüsselung ist angreifbar, da die Kryptoschlüssel im Arbeitsspeicher vorrätig gehalten werden, um die Daten von der Festplatte oder SSD entschlüsseln zu können. Alternativ können Kryptoschlüssel auch in speziellen Sicherheitschips oder dem Prozessor hinterlegt werden. Das findet bisher jedoch im PC-Bereich kaum Anwendung. Je nach Ausgestaltung sind auch hier Angriffe möglich. Wirklich geschützt sind Geräte erst mehrere Sekunden, nachdem sie heruntergefahren wurden.



Anzeige
Top-Angebote
  1. mit Gutschein: NBBCORSAIRPSP19
  2. (heute u. a. Saugroboter)
  3. 149€
  4. (u. a. Metal Gear Solid V: The Definitive Experience für 8,99€ und Train Simulator 2019 für 12...

Silberfan 17. Sep 2018

Je nach Netzteil sind darin mehr oder weniger Kondensatoren verbaut ide noch die...

M.P. 17. Sep 2018

Im Artikel ging es um die Aushebelung des Schutzmechanismus für folgenden Angriff...

Aluz 17. Sep 2018

Ja danke, das hatte ich uebersehen.

M.P. 17. Sep 2018

Das war ja gerade meine Frage: Wenn das Auslesen von "normalem" Speicher über...

Aluz 17. Sep 2018

Wenn der DRAM controller in der CPU unter geht, dann hoert der RAM auch mit dem DRAM...


Folgen Sie uns
       


Honor 20 Pro - Hands on

Das Honor 20 Pro ist das neue Oberklasse-Smartphone der Huawei-Tochter. Als Besonderheit gibt es eine Vierfachkamera, um für möglichst viele Objektivsituationen gewappnet zu sein. Hinweis vom Hersteller: "Bei den gezeigten Geräten der Honor-20-Serie handelt es sich um Demoversionen, die sich in Aussehen und Funktion von der finalen Version unterscheiden können."

Honor 20 Pro - Hands on Video aufrufen
Watch Dogs Legion angespielt: Eine Seniorin als Ein-Frau-Armee
Watch Dogs Legion angespielt
Eine Seniorin als Ein-Frau-Armee

E3 2019 Elitesoldaten brauchen wir nicht - in Watch Dogs Legion hacken und schießen wir auch als Pensionistin für den Widerstand. Beim Anspielen haben wir sehr über die ebenso klapprige wie kampflustige Oma Gwendoline gelacht.


    Ada und Spark: Mehr Sicherheit durch bessere Programmiersprachen
    Ada und Spark
    Mehr Sicherheit durch bessere Programmiersprachen

    Viele Sicherheitslücken in Software sind auf Programmierfehler zurückzuführen. Diese Fehler lassen sich aber vermeiden - und zwar unter anderem durch die Wahl einer guten Programmiersprache. Ada und Spark gehören dazu, leider sind sie immer noch wenig bekannt.
    Von Johannes Kanig

    1. Das andere How-to Deutsch lernen für Programmierer
    2. Programmiersprachen, Pakete, IDEs So steigen Entwickler in Machine Learning ein
    3. Software-Entwickler Welche Programmiersprache soll ich lernen?

    IT-Forensikerin: Beweise sichern im Faradayschen Käfig
    IT-Forensikerin
    Beweise sichern im Faradayschen Käfig

    IT-Forensiker bei der Bundeswehr sichern Beweise, wenn Soldaten Dienstvergehen oder gar Straftaten begehen, und sie jagen Viren auf Militärcomputern. Golem.de war zu Gast im Zentrum für Cybersicherheit, das ebenso wie die IT-Wirtschaft um guten Nachwuchs buhlt.
    Eine Reportage von Maja Hoock

    1. Homeoffice Wenn der Arbeitsplatz so anonym ist wie das Internet selbst
    2. Bundesagentur für Arbeit Informatikjobs bleiben 132 Tage unbesetzt
    3. IT-Headhunter ReactJS- und PHP-Experten verzweifelt gesucht

      •  /