Open Source ist kein Allheilmittel

Da viele glauben, Open-Source-Software sei sicherer als proprietäre Software, werden wir in letzter Zeit oftmals Zeugen von Versuchen, eine ähnliche Theorie auch auf die Hardwareentwicklung anzuwenden. Auf dem 36. Chaos Communication Congress (36C3) im vergangenen Monat äußerten die Experten Andrew „bunnie“ Huang, Sean „xobs“ Cross und Tom Marble jedoch ihre Zweifel im Bezug auf den Einsatz von Open-Source-Entwicklung zur Lösung von Vertrauensproblemen in Hardware. Huang referierte ausführlich zu dem Thema.

Unterschiede zwischen Hardware und Software in Bezug auf Vertrauen

Die Sicherheit von Open-Source-Software liegt nicht nur in ihrer Offenheit, sondern auch in den weitverbreiteten Tools, die sicherstellen, dass das Programm, das Sie am Endgerät ausführen, dem veröffentlichten Quellcode entspricht. Programmierer signieren ihre Software beispielsweise mit einem digitalen Zertifikat, das vom System überprüft wird, bevor die Software auf dem Computer eines Benutzers ausgeführt wird.

Bei Hardware ist dies nicht der Fall. Da es keine physische Hardware für Hashing oder digitale Signaturen gibt, verfügen die Benutzer nicht über Tools, um die Authentizität der Hardware anhand veröffentlichter Informationen zu überprüfen. Die letzte Überprüfung eines Geräts oder Chips findet in der Werkhalle statt. Und je länger der zeitliche Abstand zwischen der Werküberprüfung und der Gerätenutzung ist, desto größer ist auch die Chance auf einen erfolgreichen MITM-Angriff (Man in the Middle).

Was kann schon schief gehen?

Grundsätzlich kann zwischen dem Verlassen des Werks und dem erstmaligen Einsatz von Chips oder Geräten viel passieren. Zunächst kann die Firmware ersetzt werden. (Klar, Firmware ist tatsächlich ein Softwareproblem, sodass eine Überprüfung stattfinden kann, aber Sie müssen sich immer noch auf Hardware verlassen.) Aus diesem Grund konzentrierte sich Huang auf Probleme, wie z.B. den Austausch von Komponenten, Modifikationen und Implantaten, die ausschließlich mit Hardware zu tun haben.

Komponenten hinzufügen

Heutzutage kann ein völlig unautorisiertes Modul in den USB-Anschluss eines Ladekabels passen. Natürlich ist es noch einfacher, an anspruchsvolleren Mehrkomponentengeräten zu basteln, die viel mehr Platz für Implantate bieten. Die einzige gute Nachricht ist, dass es relativ einfach ist, neu eingebaute Chips zu erkennen.

Komponenten austauschen

Der einfachste Substitutionstrick besteht darin, die Markierung zu manipulieren. Ein Beispiel aus der Praxis: Ein sich schlecht verhaltender Mikrocontroller weist bei visueller Kontrolle die richtige Markierung (von STMicroelectronics) auf einem anderen Chip auf. Damals war die Cheat Engine eine teure Komponente, die durch eine billige ersetzt wurde. Das Ersatzteil hätte allerdings alles Mögliche enthalten können.

Chipmodifizierung

Menschen denken fälschlicherweise oft, dass Chips ab Werk nicht mehr modifiziert werden können. In vielen Fällen handelt es sich bei einem einzelnen Chip tatsächlich um mehrere separate Mikroschaltungen in einem einzigen Gehäuse. So kann ein erfahrener Gegner dieselbe Technologie beispielsweise nutzen, um sie um ein weiteres kleines Stück Silikon zu erweitern und dieses Implantat dann mit vorhandenen Kontakten zu verbinden.

Chip-on-Chip-Implantat. Quelle: „Open Source is Insufficient to Solve Trust Problems in Hardware“

In der Tat ist die benötigte Ausrüstung relativ kostengünstig und leicht verfügbar (laut Sprecher kostet eine gebrauchte Drahtbondmaschine aus China etwa 7.000 US-Dollar), obwohl die gefälschten Ergebnisse mit Röntgenstrahlen nachweisbar sind.

Wafer-Level-Chip-Scale-Pakete (WL-CSP) sind in der Modifikation viel teurer, doch selbst Röntgenstrahlen können hier die Täuschung nicht feststellen.

Modifikation der integrierten Schaltung (IC)

In der Regel entwerfen Unternehmen Chips für ihre spezifischen Aufgaben, lagern die Produktion derselben jedoch aus. Nur große Unternehmen können es sich leisten, ihre eigenen Chips herzustellen. Bei dieser Art von Anordnung gibt es mehr als eine Möglichkeit, das Endprodukt so zu modifizieren, dass es weiterhin den Vorgaben entspricht. Darüber hinaus macht sich kaum jemand den Aufang, das Endprodukt mit den ursprünglichen Spezifikationen abzugleichen, nachdem ein Chip oder ein Gerät nicht mehr in der Hand der Designer liegt.

Wann kann die Hardware geändert werden?

Der Moderator bot verschiedene Substitutionsszenarien an, die von ziemlich kniffligen (Abfangen von Fracht während des Transports als Extrembeispiel) bis zu vergleichsweise einfachen Szenarien reichten. Grundsätzlich kann jeder ein Produkt kaufen, manipulieren und an den Verkäufer zurückgeben, der es dann wiederverkaufen kann. Und formal haben in verschiedenen Phasen der Beschaffung das Verpackungsteam des Herstellers, die Zollagenten und viele weitere Parteien Zugriff auf die Ausrüstung. Somit kann jeder von ihnen diese manipulieren, wenn er dies wünscht. Die Verwendung von Open-Source-Hardware wird die Sicherheit also in keinster Weise wesentlich verbessern.

Fazit

Gegen Ende seiner Präsentation spekulierte Huang darüber, welche Änderungen in der Hardware-Produktion es Endbenutzern ermöglichen könnten, die Sicherheit von Chips und Geräten zu überprüfen. Wer sich für die Philosophie der Bewegung sowie die technischen Details der Chipmodifikation interessiert, sollte sich das gesamte Video des Vortrags ansehen.

Nicht alle der vielen Möglichkeiten, Hardware gefährlich zu machen, sind teuer oder mühsam. Vor allem besteht kein direkter Zusammenhang zwischen der Komplexität eines Angriffs und seiner Detektionsschwierigkeit. Als Geschäftsanwender sollten Sie auf Bedrohungen achten und sich nicht nur auf Endpoint-Sicherheitsprodukte verlassen. Schutzsysteme für die gesamte Unternehmensinfrastruktur schützen vor Bedrohungen und gezielten Angriffen.