Sicherheitslücke: Wie ein zwei Jahre alter Bug Bitlocker in Windows 11 umgeht
Microsofts Verschlüsselungstechnik Bitlocker soll gespeicherte Daten vor dem Zugriff fremder und potenziell böswilliger Parteien schützen. Allerdings ist das System nicht komplett sicher. So haben Security-Forscher Bitlocker bereits für Angriffe auf Windows verwendet. Im Rahmen des 38C3 hat der Sicherheitsforscher Thomas Lambertz einen neuen Angriff auf die Verschlüsselungssoftware gezeigt. Der vollständige Prozess ist in einem Video(öffnet im neuen Fenster) zu sehen.
Das Besondere: Dafür muss ein Zielgerät nicht geöffnet werden, obwohl dies sicherlich von Vorteil ist. Denn der Angriff ist über einen Arbeitsspeicher-Dump möglich, der noch vor dem eigentlichen Bootprozess von Windows ausgeführt wird. Dabei wird der Computer abrupt ausgeschaltet und in den Wiederherstellungsmodus versetzt. Das Ziel ist es dabei, den seit 2022 bekannten Bitpixie-Bug ( CVE-2023-21563(öffnet im neuen Fenster) ) auszunutzen.
Durch diesen Bug, der offensichtlich noch immer funktioniert, können Bitlocker-Schlüssel aus dem RAM unter bestimmten Bedingungen ausgelesen werden. Denn Bitlocker entschlüsselt ein Laufwerk mit dem passenden Schlüssel, noch bevor das Betriebssystem einen Fehler entdeckt, der einen Bootprozess verhindert. Wird ein Fehler erkannt, dann löscht Windows die Schlüssel im Speicher wieder, allerdings kann dieser Schritt unterbrochen und die im RAM gespeicherten, darunter offene Schlüssel, ausgelesen werden.
Bug mit Einstellungen schließen
Der Microsoft-Bootloader kann nach einem durch die Angreifer hervorgerufenen Fehler etwa in die Wiederherstellung über das Netzwerk booten. Dabei werden die Schlüssel im Speicher nicht gelöscht. So kann im Netzwerk gebooteter Code auf die Schlüssel zugreifen. Lambertz schloss dafür einen zweiten Laptop direkt an den anzugreifenden Computer per Netzwerkkabel an.
Außerdem wird ein älterer, offiziell signierter Windows-Bootloader benötigt, da neuere Versionen den Bitpixie-Bug mitigieren. Ganz einfach ist der Exploit also nicht. Außerdem kann er unter anderem verhindert werden, indem Netzwerk-Bootoptionen im Uefi deaktiviert werden.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.