HPE-ILO5 mit Silicon Root of Trust Gen10-HPE-Server: Kaum zu knacken

Nachdem Version 4 der „ILO“-Software für das Remote Server Management ärgerliche Sicherheitslücken offenbarte, hat HPE bei ILO 5 nachgelegt und Systeme mit dieser Technologie extrem gegen Angriffe gehärtet.

Anbieter zum Thema

Arvato Systems

Moxa Europe GmbH

Keeper Security EMEA Ltd.

Die Compliance-Anforderungen steigen, unter anderem wegen der Datenschutzgrundverordnung (DSGVO). Dazu kommt die Einsicht, dass man nicht jeden Eindringling am Netzwerkrand abfangen kann. Denn wo ist der in der Multicloud mit mobilen Nutzern und intelligenten Geräten im IoT überhaupt? Daher werden schon länger Methoden entwickelt, die innerhalb des Servers eine möglichst sichere und tief in die Geräte-Infrastruktur hineinreichende Vertrauenskette (Root of Trust) aufbauen.

Ein rein softwarebasierender Mechanismus zur Herstellung einer Vertrauenskette ist das optionale UEFI Secure Boot (Unified Extensible Firmware Interface): UEFI schreibt dabei ein Codeformat für ausführbare Firmware fest. Secure Boot prüft sämtliche gebootete Software, Firmware- und Betriebssystem-Treiber, Systemkern und Bootloader beim Start des Servers auf ihre Signaturen und lässt sie erst dann hochladen. Wer jedoch das UEFI umgeht oder manipuliert, kann das System kompromittieren.

TPM: Vertrauen durch separaten Prozessor

Hardwarebasiert und damit sicherer sind TPMs (Trusted Platform Modules). Das sind separate Prozessoren zur Überwachung des Systemzustandes und von Softwaresignaturen. Sie können daneben beispielsweise RSA-Schlüsselpaare erzeugen und damit arbeiten.

Werden allerdings die ersten Instruktionen am Anfang des Boot-Prozesses (Bootlock) gefälscht, erhält das TPM falsche Informationen, was das System verletzlich machen kann. Außerdem ist es denkbar, das TPM-Modul im Herstellungsprozess zu korrumpieren, beispielsweise, wenn der Hersteller die Schlüssel, mit denen das System arbeitet, aus der Hand gegeben hat.

Intel TXT: Mehr Kryptografie

Einen Schritt weiter gehen deshalb Intel TXT (Trusted Execution Technology) und Intel Boot Guard. Intel TXT liefert ein kryptografisch hochgerüstetes TPM, das die Software und die Plattformkomponenten vermessen kann, woraus sich wiederum Vertrauensentscheidungen ableiten lassen.

„Intel Boot Guard“ ist hardwarebasiert und soll Manipulationen an der UEFI-Firmware verhindern, weshalb es zeitlich früher abläuft als diese. Boot Guard muss herstellerspezifisch implementiert werden und sichert nur den Boot-Block des BIOS. Die Firmware der Serverplatine wird nicht gesichert.

AMD: Konsolentechnik im Server

AMD überträgt eine Technologie für Spielekonsolen auf Rechner: „Secure Root of Trust“. Die tiefste Wurzel des Sicherheitskonzepts ist hier ein PSP (Platform Security Processor) mit On-Chip-ROM. Es enthält einen sicheren PSP-Code und validiert mit dessen Hilfe die Integrität des System-Bios.

Erst danach die Ausführung des BIOS gestattet. Während der Laufzeit bleibt das System aber angreifbar. Die Schlüsselverwaltung erfolgt durch Dritte, was ebenfalls ein Sicherheitsrisiko bedeutet.

HPE ILO 5 Advanced mit Silicon Root of Trust

Die derzeit wohl sicherste Lösung stammt von HPE. Sie wurde kürzlich durch das sicherheitszentrierte Evaluierungsprogramm „Cyber Catalyst“ empfohlen. Wer Server verwendet, die entsprechend empfohlene Sicherheitslösungen einsetzen, muss eventuell weniger für eine Cyber-Sicherheitsversicherung bezahlen.

Silicon Root of Trust ist in ILO (Integrated Light Out) Version 5 integriert und derzeit auf den HPE-Servern der Serie „Proliant Gen10“ verfügbar. ILO ist eine Software für das Remote-Management von Servern und stammt ursprünglich von Compaq, wurde aber von HPE stetig weiterentwickelt.

Möglicherweise hat die Entdeckung einer Sicherheitslücke in ILO 4 (Versionen älter als 2.53) durch einen Airbus-Mitarbeiter im Jahr 2017 diese Weiterentwicklung mit inspiriert. Mit Silicon Root of Trust realisiert HPE jedenfalls eine von Anfang an Hardware-basierte Vertrauenskette, die nach Meinung von Cyber Catalyst nur schwer zu durchdringen ist.

Firmware-Verifizierung durch fest gespeicherten Hash-Wert

Alle mit der Technologie ausgerüsteten Systeme besitzen einen von HPE selbst entwickelten Chip. Dieser vergleicht, sobald die ILO-Firmware hochgefahren wird, die in den Chip eingebrannten „digitalen Fingerabdrücke“, also die Ergebnisse eines Hash-Algorithmus, der sämtliche Firmware, die das System im Lieferzustand verwendet, verifiziert.

Beim Hochfahren werden alle Algorithmen mit dem Hash-Code bearbeitet und die Fingerprints mit dem realen Firmware-Code abgeglichen. Zeigen sich auch noch so kleine Unterschiede, fährt das System nicht hoch. Weil sowohl die Firmware als auch der Chip von HPE stammen, ist die Manipulation durch Beteiligte an der Produktionskette ausgeschlossen.

Kombination mit Secure Boot

Hat ILO mit dem Chip das UEFI validiert, validiert dieses die Verbindung zum Betriebssystem mittels des schon beschriebenen Secure Boot, was die Vertrauenskette vervollständigt. Auch im Betrieb wird die laufende Firmware ständig geprüft. ILO 5 und UEFI liegen dafür in nichtflüchtigem Flash-Speicher.

Dieser wird regelmäßig gescannt. Zeigen sich Manipulationen, legt ILO einen Logfile an und informiert den Admin. Dieser hat die Wahl, zu dem letzten bekannten sauberen Betriebszustand zurückzukehren, den Lieferzustand wieder herzustellen oder aber den Server nicht zu ´recovern` , sondern vom Firmennetz abzukoppeln und genauer zu untersuchen. Damit ist die Wahrscheinlichkeit unentdeckter Manipulationen an Servern sehr gering.

Höchste Sicherheitsstufe

Silicon Root of Trust erreicht eine noch höhere Sicherheitsstufe als den amerikanischen FIPS (US-Standard: Federal Information Processing Security), nämlich CNSA (Comunication National Security Algorithm). Penetrationstests an Gen10-Systemen erbrachten bisher keine Erfolge.

Umsonst kommt diese Form der Sicherheit aber nicht: HPE-Kunden müssen dafür die Version HPE ILO Advanced erwerben, die für einen Server zwischen 250 und 300 Dollar kostet. Dafür bekommen Kunden auch weitere Funktionen, die in Version 5 neu hinzugefügt wurden.

Zusatz-Features in der Advanced-Version

So liefert das System Live-Empfehlungen für die Serverkonfiguration, die auf dem aktuellen Monitoring der Installation beruhen. Sie sollen den gesamten Serverbetrieb optimieren.

Weiter wurde ein Security-Dashboard hinzugefügt. Es stellt Sicherheitsinformationen so dar, dass Administratoren leichter erkennen, was wichtig ist. Zudem liefert das System zu Sicherheitsproblemen gleich auch Behebungsvorschläge mit.

Schließlich lassen sich Serverkonfigurationen durch ein BIOS-Passwort vor der Verschickung beispielsweise zu Niederlassungen sichern. Damit sind Manipulationen der Geräte während des Transports ausgeschlossen, und auch weniger IT-kundige Mitarbeiter in der Filiale können die Konfiguration der Geräte nicht beschädigen.

Ki-basierter Cloud-Support

Zudem hat HPE sein KI- und Cloud-basiertes vorbeugend arbeitendes Sicherheits-, Monitoring- und Support-System „Infosight“ nun auch auf das Server-Management ausgedehnt. Dabei fließen Daten aller Anwender, die dies gestatten, in der HPE-Cloud zusammen und werden mit KI-Algorithmen ausgewertet.

Infosight lernt ständig hinzu. Implementierungsspezifisch können Kunden oft noch bevor eine Störung virulent wird, Hinweise zu ihrer Verhinderung erhalten, ihr System in Hinblick auf seine Leistung optimieren oder automatisch mit für ihre Umgebung passenden Sicherheitspatches versorgt werden.

(ID:46315194)