Sicherheitslücken in Cloud-Hardware Die verborgenen Hintertüren in die Cloud

Anbieter zum Thema

Insider Research

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Geht es um Schwachstellen in Cloud-Diensten, kommen meist Konfigurationsfehler oder unsichere Cloud-Identitäten zur Sprache. Doch auch die Hardware spielt für die Cloud-Sicherheit eine zentrale Rolle, die der Endgeräte auf Nutzerseite genauso wie die der Cloud-Server. Das gilt insbesondere in Zeiten zunehmender Manipulationen in der Hardware-Lieferkette.

Die große Vielfalt der Cloud-Bedrohungen

Fehlkonfigurationen, Schwachstellen im Identity and Access Management (IAM), unsichere Anwendungsprogrammierschnittstellen (APIs) und das Fehlen einer umfassenden Sicherheitsstrategie, diese Bedrohungen finden sich schon länger in Reports wie „Top Threats to Cloud Computing 2024“ der CSA (Cloud Security Alliance). Ohne Zweifel bedürfen diese Cloud-Risiken auch deutlich mehr Aufmerksamkeit.

Doch bei der Vielzahl an Cloud-Gefahren könnten einige Bedrohungsfelder aus dem Blick geraten: Die Lieferkette der Cloud umfasst ein großes Cloud-Ökosystem, zu dem auch Hardware zählt. Zum einen können Sicherheitslücken in den Endgeräten der Nutzerinnen und Nutzer dazu führen, dass Cloud-Zugänge missbraucht werden. Zum anderen können aber auch die Hardwarekomponenten, auf denen die Cloud-Dienste betrieben werden, zu einer Hintertür werden.

Die jüngere Vergangenheit unterstreicht das Hardware-Risiko

Das Risiko der Hardware-Sicherheitslücke für die Cloud ist keine Theorie. Wir erinnern uns: ETH-Forschende hatten eine Sicherheitslücke in Absicherungsmechanismen von AMD- oder Intel-Chips entdeckt. Betroffen waren große Cloud-Anbieter.

Die Security-Expertinnen und -Experten der ETH Zürich konnten zeigen, dass es eine Schwachstelle in der Hardware von Cloud-Servern gab, die es ermöglichte, auf Daten zuzugreifen, die in den Speichern anderer Cloud-Nutzenden gespeichert waren, die mit der gleichen Hardware arbeiteten. Die Sicherheitslücke öffnete sich über die sogenannte Hypervisor-Software sowie den Interrupt-Mechanismus, mit dem sich Rechner-Prozesse vorübergehend unterbrechen lassen.

Ein weiteres Beispiel: Ein Forschungspaper von CISPA-Faculty Michael Schwarz und Forschern der Technischen Universität Graz, der Universität La Sapienza in Rom sowie des Cloud-Anbieters Cloudflare zeigte, dass auf einige Cloud-Infrastrukturen ein neuartiger Spectre-Angriff erfolgreich sein und damit die Datensicherheit der Nutzenden gefährden könnte.

Lücken in der Cloud-Sicherheit

Welche Cloud-Schwachstellen meistens vergessen werden

Es geht nicht nur um „ungewollte“ Schwachstellen

Eine globale Studie von HP zeigt zudem die wachsende Besorgnis über nationalstaatliche Angreifer, die es auf physische Lieferketten abgesehen haben und die Integrität von Gerätehardware und -firmware manipulieren. 29 Prozent der befragten Firmen gaben zum Beispiel an, dass sie oder andere ihnen bekannte Personen bereits von Bedrohungen durch nationale Akteure betroffen waren. Diese zielten auf ihre Lieferketten ab, um bösartige Hardware oder Firmware in Geräte einzuschleusen. Fast zwei Drittel (63 %) sind der Meinung, dass der nächste größere Angriff eines Staates das Ziel hat, die Hardware-Lieferkette zu „vergiften“, um Malware einzuschleusen. Dabei sind nicht nur die Lieferketten von PCs, Laptops oder Druckern in Gefahr.

E-Book zum Thema

Das eBook „Multi Hybrid Cloud“ thematisiert die ganzheitliche Multi-Hybrid-Cloud-Sicherheitsstrategie, die sowohl Cloud-Services als auch interne IT-Infrastrukturen umfasst und den Schutz der Identitäten priorisiert.

eBook herunterladen

Eine Untersuchung der IHP GmbH im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI) („Prüfung von Manipulationsmöglichkeiten von Hardware in verteilten Fertigungsprozessen“, PANDA) betrachtet die Einflussmöglichkeiten von Angreifern innerhalb der Fertigungskette von komplexen IT- Systemen. Die Studienergebnisse zeigen, dass solche Manipulationen in jeder Phase der Fertigung mit teilweise relativ geringem Aufwand möglich sind. Die Manipulationen, auch als „Hardware-Trojaner“ bezeichnet, können in fast allen Entwicklungs- und Produktionsschritten implementiert werden. Die Detektion hingegen kann sehr anspruchsvoll sein. Dieses Risiko besteht auch für Cloud-Server, das versteht sich.

Mehr Sicherheit in der Supply Chain

TeleTrusT veröffentlicht Leitfaden zu „Software Bill of Materials“

Cloud-Security geht nur mit Hardware-Sicherheit

Wenn es also um die Angriffsfläche der Cloud geht, müssen alle Bereiche der Lieferkette betrachtet werden, nicht nur vom Cloud-Provider bis zum Cloud-Anwender, sondern auch alle Vorlieferanten des Cloud-Providers müssen berücksichtigt werden, auch und gerade im Bereich Hardware.

Aus gutem Grund schreibt zum Beispiel TeleTrusT als Bundesverband IT-Sicherheit zu den „Software Bills of Materials" (SBOM) auch mit Blick auf Cloud-Sicherheit: SBOMs haben das Potenzial, die Transparenz darüber zu erhöhen, welche Daten von wem verarbeitet und gespeichert werden. Hierfür wäre es jedoch erforderlich, dass SBOMs nicht nur Informationen über verwendete Softwaremodule enthalten, sondern auch über andere Bestandteile der IT-Lieferkette, wie beispielsweise genutzte Rechenzentren, Hardware und eingebundene Cloud-Dienste.

Offensichtlich muss es auch eine „Stückliste“ der Komponenten für eine Cloud geben, mit Schwachstellen und notwendigen Schutzmaßnahmen. Die Cloud-Sicherheit wird dadurch nicht etwa komplexer, sondern sie kann nur so beherrscht werden.

(ID:50276993)