Laptops: Firmware-Schwachstelle legt Verschlüsselung offen

Sicherheitsmaßnahmen reichen bisher nicht aus, um Daten in verlorenen und gestohlenen Laptops zu schützen

[datensicherheit.de, 13.09.2018] F-Secure hat nach eigenen Angaben eine Schwachstelle in modernen Computern entdeckt, die es Hackern ermöglichen kann, Verschlüsselungscodes und andere kritische Informationen zu stehlen. Forscher des Unternehmens warnen Hersteller und Nutzer von PCs, dass die gegenwärtigen Sicherheitsmaßnahmen nicht ausreichten, um Daten in verlorenen und gestohlenen Laptops zu schützen.

Unternehmen aktuell nicht vorbereitet oder aufmerksam gemacht

Hacker müssten physischen Zugriff auf den Computer haben, bevor sie dessen Schwachstelle ausnützen können. Der „F-Secure Principal Security Consultant“ Olle Segerdahl weist indes darauf hin, dass ein Dieb nur etwa fünf Minuten brauche, um den Angriff erfolgreich durchzuführen, wenn er sich das Gerät verschafft hat:
„Unternehmen sind normalerweise nicht darauf vorbereitet, sich vor Angreifern zu schützen, die sich den Computer eines Mitarbeiters physisch angeeignet haben. Wenn ein Sicherheitsproblem in Geräten größerer PC-Hersteller gefunden wird, wie die Schwachstelle, die wir aufgedeckt haben, muss davon ausgegangen werden, dass viele Firmen verwundbar sind. Unternehmen sind darauf aktuell nicht vorbereitet oder aufmerksam gemacht worden, dass es diese Verwundbarkeit gibt.“

Foto: F-Secure

Olle Segerdahl, F-Secure Principal Security Consultant

Hacker nutzen Angriffsmethode seit 2008

Die Schwachstelle erlaubt es Angreifern, die physischen Zugriff auf einen Computer haben, demnach eine sogenannte „Cold Boot“-Attacke auszuführen. Diese Angriffsmethode sei Hackern bereits seit 2008 bekannt. Bei „Cold Boot“-Attacken werde ein Computer neu gestartet, ohne im Vorfeld korrekt runtergefahren worden zu sein. Im Anschluss werde auf die kurzzeitig noch im RAM verfügbaren Daten zugegriffen.
Aktuelle Laptops überschrieben mittlerweile den Arbeitsspeicher (RAM), um genau diese Art der „Cold Boot“-Attacken für den Datendiebstahl zu verhindern. Allerdings hätten Segerdahl und sein Team eine Methode herausgefunden, wie sich der Überschreibprozess ausschalten lässt und die seit über zehn Jahren bekannte „Cold Boot“-Attacke wieder funktioniert.
„Gegenüber der klassischen ,Cold Boot‘-Attacke erfordert es einige Zusatzschritte, aber der Angriff ist effektiv gegen alle aktuellen Laptops, die wir getestet haben. Diese Bedrohungsart ist hauptsächlich in den Fällen relevant, in denen Geräte gestohlen oder sonst illegal angeeignet werden. Dann haben Angreifer viel Zeit, die Attacke auszuführen“, erläutert Segerdahl.

Aktuell kein Schutz gegen diesen Angriff verfügbar

Die Firmware-Einstellungen, die das Verhalten des Boot-Prozesses kontrollieren, seien nicht gegen Manipulation durch einen physischen Angreifer geschützt. Mit einem einfachen Hardware-Tool könne ein Angreifer den Speicherchip („Non-volatile Memory Chip“) überschreiben, der diese Firmware-Einstellungen enthält. Im Anschluss könne er den Speicher überschreiben und einen Boot-Vorgang von externen Geräten zulassen. Die eigentliche „Cold Boot“-Attacke könne mit einem speziellen Programm von einem USB-Stick aus durchgeführt werden.
„Diese Angriffsmethode funktioniert gegen sämtliche von uns getestete und handelsübliche Firmenlaptops. Deswegen können Unternehmen keineswegs sicher sein, ob ihre Daten noch sicher sind, wenn ein Computer vermisst wird. Auf 99 Prozent aller Firmenlaptops sind Zugangsdaten für Unternehmensnetzwerke. Dies gibt Angreifern eine beständige und zuverlässige Methode, um Unternehmensziele auszuspionieren oder zu schädigen“, erläutert Segerdahl.
Es gebe keinen einfachen Lösungsweg für dieses Problem. Es sei also ein Risiko, „mit dem Unternehmen aktuell selbst fertig werden müssen“. Segerdahl habe die Forschungsresultate seines Teams mit Intel, Microsoft und Apple geteilt, damit die PC-Branche die Sicherheit gegenwärtiger und künftiger Produkte verbessern kann.

Unternehmen sollten sich selbst auf solche Angriffe vorbereiten

Segerdahl geht nicht davon aus, dass sich kurzfristig eine Lösung finden lässt. Er rät Unternehmen dazu, sich selbst auf solche Angriffe vorzubereiten. Eine Methode könnte sein, Laptops so zu konfigurieren, dass sie sich automatisch ausschalten oder in den Schlafmodus gehen. Anwender müssten dann die Bitlocker-PIN jedes Mal eingeben, wenn „Windows“ hochfährt oder wiederhergestellt wird.
Angestellte, besonders Führungskräfte und Außendienstmitarbeiter sollten über „Cold Boot“-Attacken und ähnliche Bedrohungen mit besonderer Dringlichkeit informiert werden. Die IT-Abteilungen sollten einen Reaktionsplan griffbereit haben, um mit vermissten Laptops korrekt umzugehen:
„Eine schnelle Reaktion, die die Zugangsdaten sperrt, macht gestohlene Laptops weniger wertvoll für die Angreifer. Die zuständigen Personen für IT-Sicherheit und Notfallmanagement sollten sich auf ein solches Szenario vorbereiten und es trainieren. Die jeweiligen Mitarbeiter sollten dringend darauf hingewiesen werden, dass die IT-Abteilung sofort informiert werden muss, wenn ein Gerät verloren geht oder gestohlen wird“, rät Segerdahl.
Sich auf solche Fälle vorzubereiten, sei bessere Praxis als einfach anzunehmen, dass Geräte nicht physisch von Hackern manipuliert werden könnten, „weil das offensichtlich nicht der Fall ist“.

Weitere Informationen zum Thema:

F-Secure
Die erschreckende Wahrheit zu Cold Boot-Attacken