Abo
  • Services:
Anzeige
Wie vertrauenswürdig ist unsere Hardware?
Wie vertrauenswürdig ist unsere Hardware? (Bild: Soeb, Wikimedia Commons)

IMHO: Zertifizierungen sind der falsche Weg

Wie vertrauenswürdig ist unsere Hardware?
Wie vertrauenswürdig ist unsere Hardware? (Bild: Soeb, Wikimedia Commons)

In Firmware versteckte Malware ist ein Problem, Zertifizierungen dürften aber kaum dagegen helfen. Wer vertrauenswürdige Firmware möchte, muss offene Quellen, transparente Audits und reproduzierbare Buildprozesse fordern.

Anzeige

Mein Kollege Nico Ernst forderte jüngst hier in einem Kommentar, Schlussfolgerungen aus den neuen Erkenntnissen über in Firmware versteckte Malware zu ziehen und forderte zertifizierte Firmware-Images. Die Frage, wie sehr wir unserer Hardware vertrauen können, ist ein großes Problem. Aber wenn falsche Lösungen propagiert werden, richtet das möglicherweise mehr Schaden an als es nützt.

Die Problemlage ist bekannt: Was nützt die beste Software, wenn man der Hardware, auf der sie läuft, nicht vertrauen kann? Dabei kommt erschwerend hinzu, dass die auf der Hardware laufenden Firmwares heute immer komplexer und immer mehr werden. Genaugenommen ist es längst nicht mehr korrekt, bei unserer heutigen Hardware von Computern zu sprechen. Vielmehr handelt es sich bei jedem Laptop und jedem Smartphone um ein komplexes Netzwerk von Mini-Computern. Selbst so simple Geräte wie SD-Karten haben eigene Prozessoren und eigene Mini-Betriebssysteme, die für ihre Steuerung zuständig sind.

In all diesen Firmwares können bösartige Hintertüren versteckt sein und - vermutlich sogar das gravierendere Problem - alle diese Firmwares können kritische Sicherheitslücken enthalten.

Bausteine für sichere Firmware

Eigentlich ist klar: Wirklich vertrauen kann man dieser Firmware nur, wenn nachprüfbar ist, was sie tut. Und dafür benötigt man den Quellcode. Ein offener Quellcode alleine sorgt natürlich noch nicht für eine sichere Firmware, aber es ist ein wichtiger erster Schritt.

Die traurige Realität ist jedoch: Firmware mit offenen Quellen muss man heutzutage mit der Lupe suchen. Spricht man Hardwarehersteller darauf an, erhält man üblicherweise immer die gleichen Antworten: Man könne die Firmware überhaupt nicht offenlegen, weil dabei die Rechte von Drittherstellern betroffen seien. Und die unfreie Firmware sei notwendig zum Schutz der Geschäftsgeheimnisse.

Nur - die Frage sei erlaubt - was ist wichtiger: der Schutz der Geschäftsgeheimnisse oder die Sicherheit der IT-Infrastruktur? Wenn Hardwarehersteller diese Frage immer zulasten der Sicherheit beantworten, dann sagt das einiges darüber aus, wo die Probleme zu suchen sind.

Da Nico Ernst die Freigabe der Firmware-Quellcodes für unrealistisch hält, schlägt er stattdessen eine Zertifizierung der Firmware, beispielsweise durch das Bundesamt für Sicherheit in der Informationstechnik (BSI), vor. Doch eine Zertifizierung ist keine Alternative zu offenen Quellen.

Faktorisierbare RSA-Keys und Zufallszahlen mit Hintertür

Zertifizierungen können katastrophal fehlschlagen, wie diverse Beispiele aus der Vergangenheit zeigen. 2013 gelang es einem Team von Kryptographen, private RSA-Schlüssel von taiwanesischen Bürger-Chipkarten zu faktorisieren. Schuld daran war ein fehlerhafter Zufallszahlengenerator. Die Chipkarten waren FIPS- und Common-Criteria-zertifiziert. Was war hier passiert? Die Chipkarten hatten zwar einen zertifizierten Zufallszahlengenerator, dessen Nutzung war aber optional - er wurde schlicht nicht genutzt.

Noch absurder ist eine Episode aus der schier endlosen Geschichte um den NSA-kompromittierten Zufallszahlengenerator Dual EC DRBG. Dieser war einst Teil der FIPS-Zertifizierung und wurde somit auch in OpenSSL eingebaut. Nachdem durch die Snowden-Enthüllungen bekannt wurde, dass es sich bei Dual EC DRBG höchstwahrscheinlich um einen Algorithmus mit einer NSA-Hintertür handelte, wurde er aus OpenSSL entfernt. Dabei stellte man jedoch fest, dass der Algorithmus überhaupt nicht funktioniert hatte.

Nicht nur hatte die Zertifizierung dafür gesorgt, dass ein Algorithmus mit einer Geheimdienst-Hintertür in OpenSSL landete, im Zertifizierungsprozess wurde nicht einmal bemerkt, dass der Algorithmus fehlerhaft implementiert war. Ein doppelter Fehlschlag.

Transparenz und offene Quellcodes 

eye home zur Startseite
Accolade 29. Jan 2015

Hallo, mir ist, bei einem Rootkit Scan mit Spybot, aufgefallen das es hier Warnhinweise...

Moe479 27. Jan 2015

z.b. netzwerkarten bzw. onboard nics, die dinger haben eine eigene, typischerweise auch...

JTR 26. Jan 2015

Aha und das soll dich schützen. Ein allgemein nütziger Verein verklagst du dann als...

Juniper 26. Jan 2015

Der Zeitraum geht vermutlich trozdem in die Trillarden Jahre selbst wenn ich nur einen...

Nocta 26. Jan 2015

Deterministisch lösbar ist es sicher. Du meinst vermutlich, ob es in polynomialzeit von...



Anzeige

Stellenmarkt
  1. Detecon International GmbH, Dresden
  2. über Hanseatisches Personalkontor Rottweil, Gottmadingen (bei Singen am Htwl.)
  3. Leopold Kostal GmbH & Co. KG, Hagen
  4. TADANO FAUN GmbH, Lauf an der Pegnitz / bei Nürnberg


Anzeige
Hardware-Angebote
  1. und bis zu 60€ Steam-Guthaben erhalten
  2. 1.029,00€ + 5,99€ Versand
  3. (täglich neue Deals)

Folgen Sie uns
       


  1. Heiko Maas

    "Kein Wunder, dass Facebook seine Vorgaben geheim hält"

  2. Virtual Reality

    Oculus Rift unterstützt offiziell Roomscale-VR

  3. FTP-Client

    Filezilla bekommt ein Master Password

  4. Künstliche Intelligenz

    Apple arbeitet offenbar an eigenem AI-Prozessor

  5. Die Woche im Video

    Verbogen, abgehoben und tiefergelegt

  6. ZTE

    Chinas großes 5G-Testprojekt läuft weiter

  7. Ubisoft

    Far Cry 5 bietet Kampf gegen Sekte in und über Montana

  8. Rockstar Games

    Waffenschiebereien in GTA 5

  9. Browser-Games

    Unreal Engine 4.16 unterstützt Wasm und WebGL 2.0

  10. Hasskommentare

    Bundesrat fordert zahlreiche Änderungen an Maas-Gesetz



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Debatte nach Wanna Cry: Sicherheitslücken veröffentlichen oder zurückhacken?
Debatte nach Wanna Cry
Sicherheitslücken veröffentlichen oder zurückhacken?
  1. Sicherheitslücke Fehlerhaft konfiguriertes Git-Verzeichnis bei Redcoon
  2. Hotelketten Buchungssystem Sabre kompromittiert Zahlungsdaten
  3. Onlinebanking Betrüger tricksen das mTAN-Verfahren aus

Sphero Lightning McQueen: Erst macht es Brummbrumm, dann verdreht es die Augen
Sphero Lightning McQueen
Erst macht es Brummbrumm, dann verdreht es die Augen

Quantencomputer: Nano-Kühlung für Qubits
Quantencomputer
Nano-Kühlung für Qubits
  1. IBM Q Mehr Qubits von IBM
  2. Quantencomputer Was sind diese Qubits?
  3. Verschlüsselung Kryptographie im Quantenzeitalter

  1. Re: 1Password Fake-News ?

    quasides | 06:36

  2. Re: Ausgerechnet Heiko Maas predigt Transparenz

    HerrLich | 06:36

  3. "Verantwortung der Anbieter für ihre Angebote...

    HerrLich | 06:31

  4. Re: Kompetenzbestie

    divStar | 05:37

  5. Re: "mangelnde Transparenz"

    divStar | 05:33


  1. 12:54

  2. 12:41

  3. 11:44

  4. 11:10

  5. 09:01

  6. 17:40

  7. 16:40

  8. 16:29


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel