Abo
  • Services:
Anzeige
Wie vertrauenswürdig ist unsere Hardware?
Wie vertrauenswürdig ist unsere Hardware? (Bild: Soeb, Wikimedia Commons)

IMHO: Zertifizierungen sind der falsche Weg

Wie vertrauenswürdig ist unsere Hardware?
Wie vertrauenswürdig ist unsere Hardware? (Bild: Soeb, Wikimedia Commons)

In Firmware versteckte Malware ist ein Problem, Zertifizierungen dürften aber kaum dagegen helfen. Wer vertrauenswürdige Firmware möchte, muss offene Quellen, transparente Audits und reproduzierbare Buildprozesse fordern.

Anzeige

Mein Kollege Nico Ernst forderte jüngst hier in einem Kommentar, Schlussfolgerungen aus den neuen Erkenntnissen über in Firmware versteckte Malware zu ziehen und forderte zertifizierte Firmware-Images. Die Frage, wie sehr wir unserer Hardware vertrauen können, ist ein großes Problem. Aber wenn falsche Lösungen propagiert werden, richtet das möglicherweise mehr Schaden an als es nützt.

Die Problemlage ist bekannt: Was nützt die beste Software, wenn man der Hardware, auf der sie läuft, nicht vertrauen kann? Dabei kommt erschwerend hinzu, dass die auf der Hardware laufenden Firmwares heute immer komplexer und immer mehr werden. Genaugenommen ist es längst nicht mehr korrekt, bei unserer heutigen Hardware von Computern zu sprechen. Vielmehr handelt es sich bei jedem Laptop und jedem Smartphone um ein komplexes Netzwerk von Mini-Computern. Selbst so simple Geräte wie SD-Karten haben eigene Prozessoren und eigene Mini-Betriebssysteme, die für ihre Steuerung zuständig sind.

In all diesen Firmwares können bösartige Hintertüren versteckt sein und - vermutlich sogar das gravierendere Problem - alle diese Firmwares können kritische Sicherheitslücken enthalten.

Bausteine für sichere Firmware

Eigentlich ist klar: Wirklich vertrauen kann man dieser Firmware nur, wenn nachprüfbar ist, was sie tut. Und dafür benötigt man den Quellcode. Ein offener Quellcode alleine sorgt natürlich noch nicht für eine sichere Firmware, aber es ist ein wichtiger erster Schritt.

Die traurige Realität ist jedoch: Firmware mit offenen Quellen muss man heutzutage mit der Lupe suchen. Spricht man Hardwarehersteller darauf an, erhält man üblicherweise immer die gleichen Antworten: Man könne die Firmware überhaupt nicht offenlegen, weil dabei die Rechte von Drittherstellern betroffen seien. Und die unfreie Firmware sei notwendig zum Schutz der Geschäftsgeheimnisse.

Nur - die Frage sei erlaubt - was ist wichtiger: der Schutz der Geschäftsgeheimnisse oder die Sicherheit der IT-Infrastruktur? Wenn Hardwarehersteller diese Frage immer zulasten der Sicherheit beantworten, dann sagt das einiges darüber aus, wo die Probleme zu suchen sind.

Da Nico Ernst die Freigabe der Firmware-Quellcodes für unrealistisch hält, schlägt er stattdessen eine Zertifizierung der Firmware, beispielsweise durch das Bundesamt für Sicherheit in der Informationstechnik (BSI), vor. Doch eine Zertifizierung ist keine Alternative zu offenen Quellen.

Faktorisierbare RSA-Keys und Zufallszahlen mit Hintertür

Zertifizierungen können katastrophal fehlschlagen, wie diverse Beispiele aus der Vergangenheit zeigen. 2013 gelang es einem Team von Kryptographen, private RSA-Schlüssel von taiwanesischen Bürger-Chipkarten zu faktorisieren. Schuld daran war ein fehlerhafter Zufallszahlengenerator. Die Chipkarten waren FIPS- und Common-Criteria-zertifiziert. Was war hier passiert? Die Chipkarten hatten zwar einen zertifizierten Zufallszahlengenerator, dessen Nutzung war aber optional - er wurde schlicht nicht genutzt.

Noch absurder ist eine Episode aus der schier endlosen Geschichte um den NSA-kompromittierten Zufallszahlengenerator Dual EC DRBG. Dieser war einst Teil der FIPS-Zertifizierung und wurde somit auch in OpenSSL eingebaut. Nachdem durch die Snowden-Enthüllungen bekannt wurde, dass es sich bei Dual EC DRBG höchstwahrscheinlich um einen Algorithmus mit einer NSA-Hintertür handelte, wurde er aus OpenSSL entfernt. Dabei stellte man jedoch fest, dass der Algorithmus überhaupt nicht funktioniert hatte.

Nicht nur hatte die Zertifizierung dafür gesorgt, dass ein Algorithmus mit einer Geheimdienst-Hintertür in OpenSSL landete, im Zertifizierungsprozess wurde nicht einmal bemerkt, dass der Algorithmus fehlerhaft implementiert war. Ein doppelter Fehlschlag.

Transparenz und offene Quellcodes 

eye home zur Startseite
Accolade 29. Jan 2015

Hallo, mir ist, bei einem Rootkit Scan mit Spybot, aufgefallen das es hier Warnhinweise...

Moe479 27. Jan 2015

z.b. netzwerkarten bzw. onboard nics, die dinger haben eine eigene, typischerweise auch...

JTR 26. Jan 2015

Aha und das soll dich schützen. Ein allgemein nütziger Verein verklagst du dann als...

Juniper 26. Jan 2015

Der Zeitraum geht vermutlich trozdem in die Trillarden Jahre selbst wenn ich nur einen...

Nocta 26. Jan 2015

Deterministisch lösbar ist es sicher. Du meinst vermutlich, ob es in polynomialzeit von...



Anzeige

Stellenmarkt
  1. über Hanseatisches Personalkontor Bremen, Bremen
  2. ING-DiBa AG, Nürnberg
  3. OPITZ CONSULTING Deutschland GmbH, verschiedene Standorte
  4. Feynsinn, München, Fulda


Anzeige
Blu-ray-Angebote
  1. (u. a. Stephen Kings Es 8,97€, Serpico 8,97€, Annabelle 8,84€)

Folgen Sie uns
       


  1. Core i9-7980XE im Test

    Intel braucht 18 Kerne, um AMD zu schlagen

  2. Bundestagswahl 2017

    Ein Hoffnungsschimmer für die Netzpolitik

  3. iZugar

    220-Grad Fisheye-Objektiv für Micro Four Thirds vorgestellt

  4. PowerVR

    Chinesen kaufen Imagination Technologies

  5. Zukunftsreifen

    Michelin will schwammartiges Rad für fahrerlose Autos bauen

  6. Bundestagswahl 2017

    Union und SPD verlieren, Jamaika-Koalition rückt näher

  7. IFR

    Zahl der verkauften Haushaltsroboter steigt stark an

  8. FTTH

    CDU für Verkauf der Telekom-Aktien

  9. Konkurrenz

    Unitymedia gegen Bürgerprämie für Glasfaser

  10. Arduino MKR GSM und WAN

    Mikrocontroller-Boards überbrücken weite Funkstrecken



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Bundestagswahl 2017: Viagra, Datenbankpasswörter und uralte Sicherheitslücken
Bundestagswahl 2017
Viagra, Datenbankpasswörter und uralte Sicherheitslücken
  1. Zitis Wer Sicherheitslücken findet, darf sie behalten
  2. Merkel im Bundestag "Wir wollen nicht im Technikmuseum enden"
  3. TV-Duell Merkel-Schulz Die Digitalisierung schafft es nur ins Schlusswort

Olympus Tough TG5 vs. Nikon Coolpix W300: Die Schlechtwetter-Kameras
Olympus Tough TG5 vs. Nikon Coolpix W300
Die Schlechtwetter-Kameras
  1. Mobilestudio Pro 16 im Test Wacom nennt 2,2-Kilogramm-Grafiktablet "mobil"
  2. HP Z8 Workstation Mit 3 TByte RAM und 56 CPU-Kernen komplexe Bilder rendern
  3. Meeting Owl KI-Eule erkennt Teilnehmer in Meetings

VR: Was HTC, Microsoft und Oculus mit Autos zu tun haben
VR
Was HTC, Microsoft und Oculus mit Autos zu tun haben
  1. Concept EQA Mercedes elektrifiziert die Kompaktklasse
  2. GLC F-Cell Mercedes stellt SUV mit Brennstoffzelle und Akku vor
  3. ID Crozz VW stellt elektrisches Crossover vor

  1. Re: Intel im Winterschlaf

    ffrhh | 09:53

  2. Re: Die Benches zeigen eher dass Intel immer noch...

    Pixel5 | 09:51

  3. Re: Jamaika wird nicht halten

    Markus08 | 09:49

  4. Re: Ich feier das Ergebnis der AfD!

    Dwalinn | 09:46

  5. Re: Und bei DSL?

    Matty194 | 09:44


  1. 09:01

  2. 07:52

  3. 07:33

  4. 07:25

  5. 07:17

  6. 19:04

  7. 15:18

  8. 13:34


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel