Sicherheit eingebetteter Systeme Sichere Firmware-Updater für sichere Embedded Systems

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

TXOne Networks

TÜV Informationstechnik GmbH

Hacker können nicht nur Rechenzentren und PCs unter ihre Kontrolle bringen, sondern mitunter auch ganze Fahrzeuge fernsteuern. Das hat der Jeep Hack von 2015 eindrucksvoll bewiesen. Entscheidend für den Erfolg des Angriffs war dabei ein unsicherer Firmware-Updater eines Steuergerätes.

Firmware ist ein wichtiger Bestandteil der heutigen eingebetteten Elektronik. Ihre Authentizität sowie ihre Integrität sind wesentlich für die Sicherheit eingebetteter Systeme. Ein Update der Firmware soll die Funktionalität von Produkten üblicherweise erweitern oder ihre Sicherheit erhöhen. Gleichzeitig stellen unsichere Update­mechanismen aber auch eine ideale Möglichkeit für Angreifer dar, um ein Produkt zu hacken. Dies haben Sicherheitsforscher im Jahr 2015 im „Jeep Hack“ demonstriert: Sie waren in der Lage, Lenkrad und Bremsen eines PKWs fernzusteuern. Obwohl die originale Firmware einen solchen Zugriff zuerst verhindert hatte, erhielten die Angreifer vollständigen Zugriff auf das Fahrzeug, indem sie die Originalfirmware kurzerhand durch ihre eigene, manipulierte Firmware ersetzten.

Authentizität und Integrität als Mindestanforderungen für Firmware-Updates

Die wichtigsten Voraussetzungen, die ein sicherer Firmware-Updater erfüllen sollte, sind die Authentizität (Echtheit) und die Integrität (Unversehrtheit) des Updates. Beides kann durch kryptographische Signaturverfahren sichergestellt werden. Hierfür stellt der legitime Produkthersteller zu jeder authentischen Firmware ein digitales Zertifikat aus, welches dann bei Installation auf Produktseite überprüft wird. Erweist sich hier ein Zertifikat als falsch, so wird das vermeintliche Update zurückgewiesen. Zum Schutz von sicherheitsrelevanten Informationen (z.B. Schlüsselmaterial) und geistigen Eigentums kann es zudem erforderlich sein, die Vertraulichkeit der Firmware durch Verschlüsselung zu schützen.

Sichere Algorithmen benötigen auch eine sichere Implementierung

Kryptographische Verfahren wie beispielsweise das eXtended Merkle Signature Scheme (XMSS) bilden das theoretische Fundament für das Erreichen der oben genannten Schutzziele Authentizität und Integrität. So gilt XMSS als mathematisch sicher, das heißt ein Angreifer kann selbst mit erheblichem Aufwand keine gültigen Signaturen, und somit auch keine Zertifikate, für seine (manipulierte) Firmware erstellen. Ähnliches gilt für den Advanced Encryption Standard (AES), welcher oftmals zur Verschlüsselung vertraulicher Inhalte eingesetzt wird.

Allerdings sind auch funktional korrekt implementierte Algorithmen nicht automatisch sicher. So ist dank Paul Kocher [6] seit 1998 öffentlich bekannt, wie man die Stromaufnahme eines eingebetteten Systems nutzen kann, um geheimes Schlüsselmaterial zu extrahieren. Eine schier unzählige Anzahl an Veröffentlichungen beschreiben seither Verfeinerungen dieser Technik, der sogenannten Seitenkanalangriffe, und stellen Hersteller vor immer neue Herausforderungen.

Übrigens: Die wie Science Fiction klingende Technik ist tatsächlich sogar noch älter, wie teilweise deklassifizierte Dokumente der NSA zeigen. So unterrichtete David G. Boak bereits 1973 NSA-Mitarbeiter über derartige „Schwächen ausgewählter […] elektronischer Verschlüsselungsanlagen“.

Firmware-Updater können weitgehend unabhängig von der letztendlichen Funktionalität der Firmware entworfen und überprüft werden

Ein sicher implementierter Firmware-Updater bildet das Fundament jedes sicheren IT-Systems. Nur einige wenige Kenngrößen zur letztendlichen Firmware müssen bekannt sein, um einen passenden Updater zu konzipieren. Typische Fragestellungen sind etwa „Wie oft werden Updates erwartet?“ oder „Muss die Größe eines Updates aufgrund des Übertragungsweges minimal gehalten werden?“. Sind solche Eckpunkte erst einmal fixiert, können auch Hersteller von generischen Plattformen, denen der tatsächliche Anwendungsfall oftmals nicht vollständig bekannt ist, einen passenden Firmware-Update-Mechanismus implementieren. Eine unabhängige Zertifizierung der Sicherheitsfunktionalität durch eine neutrale Partei dient als Vertrauensnachweis gegenüber Geschäftspartnern sowie Kunden und stellt damit oftmals ein wichtiges Verkaufsmerkmal dar. Zu guter Letzt vereinfacht ein solcher Sicherheitsanker auch die anschließende Logistik und trägt entscheidend zur Absicherung der gesamten Lieferkette bis hin zum Endverbraucher bei. Hardware kann beispielsweise auf Vorrat produziert werden und entwickelte Firmware nachträglich schnell und sicher aufgespielt werden.

Über die Autoren

Dr. Henning Kerstan ist IT Sicherheitsexperte bei TÜViT und dort unter anderem für Geschäftsfeldentwicklung und Fachvertrieb in der Abteilung „Hardware Evaluation“ zuständig.

Marc Le Guin ist IT Sicherheitsexperte und stellvertretender Abteilungsleiter der Abteilung „Hardware Evaluation“ bei TÜViT.

(ID:47749124)