Schwachstelle in Notebook-Firmware

Sicherheitslücke macht aktuelle Laptops angreifbar

| Redakteur: Peter Schmitz

Forscher von F-Secure haben eine physische Schwachstelle bei handelsüblichen Laptops aufgedeckt. Aktuell gibt es keinen konkreten Schutz gegen die Sicherheitslücke.
Forscher von F-Secure haben eine physische Schwachstelle bei handelsüblichen Laptops aufgedeckt. Aktuell gibt es keinen konkreten Schutz gegen die Sicherheitslücke. (Bild: Pixabay / CC0)

Sicherheitsexperten von F-Secure haben eine Schwachstelle in modernen Computern entdeckt, die es Hackern ermöglicht, Verschlüsselungscodes und andere kritische Informationen zu stehlen. Die Forscher warnen Hersteller und Nutzer von PCs, dass die gegenwärtigen Sicherheitsmaßnahmen nicht ausreichen, um Daten in verlorenen und gestohlenen Laptops zu schützen.

Eine neu entdeckte Schwachstelle erlaubt es Angreifern, die physischen Zugriff auf einen Computer haben, eine sogenannte Cold Boot-Attacke auszuführen. Diese Angriffsmethode ist Hackern bereits seit 2008 bekannt. Bei Cold Boot-Attacken wird ein Computer neu gestartet ohne, dass er im Vorfeld korrekt heruntergefahren wurde. Im Anschluss wird auf die Daten zugegriffen, die kurzzeitig noch im RAM verfügbar sind.

Aktuelle Laptops überschreiben mittlerweile den Arbeitsspeicher, um genau diese Art der Cold Boot-Attacken für den Datendiebstahl zu verhindern. Allerdings haben der F-Secure Principal Security Consultant Olle Segerdahl und sein Team eine Methode herausgefunden, wie sich der Überschreibprozess ausschalten lässt und die seit über zehn Jahren bekannte Cold Boot-Attacke wieder funktioniert. Im folgenden Video wird der Angriff demonstriert.

„Gegenüber der klassischen Cold Boot-Attacke erfordert es einige Zusatzschritte, aber der Angriff ist effektiv gegen alle aktuellen Laptops, die wir getestet haben. Diese Bedrohungsart ist hauptsächlich in den Fällen relevant, in denen Geräte gestohlen oder sonst illegal angeeignet werden. Dann haben Angreifer viel Zeit die Attacke auszuführen“, erklärt Segerdahl. Hacker müssen zwar physischen Zugriff auf den Computer haben, bevor sie die Schwachstelle ausnützen können,Segerdahl weist aber darauf hin, dass ein Dieb nur etwa fünf Minuten braucht, um den Angriff erfolgreich durchzuführen, wenn er sich das Gerät verschafft hat.

„Unternehmen sind normalerweise nicht darauf vorbereitet, sich vor Angreifern zu schützen, die sich den Computer eines Mitarbeiters physisch angeeignet haben. Wenn ein Sicherheitsproblem in Geräten größerer PC-Hersteller gefunden wird, wie die Schwachstelle, die wir aufgedeckt haben, muss davon ausgegangen werden, dass viele Firmen verwundbar sind. Unternehmen sind darauf aktuell nicht vorbereitet oder aufmerksam gemacht worden, dass es diese Verwundbarkeit gibt“, sagt Segerdahl.

So funktioniert der Angriff

Die Firmware-Einstellungen, die das Verhalten des Boot-Prozesses kontrollieren, sind nicht gegen Manipulation durch einen physischen Angreifer geschützt. Mit einem einfachen Hardware-Tool kann ein Angreifer den Speicherchip (Non-volatile Memory Chip) überschreiben, der diese Firmware-Einstellungen enthält. Im Anschluss kann er den Speicher überschreiben und einen Boot-Vorgang von externen Geräten zulassen. Die eigentliche Cold Boot-Attacke kann mit einem speziellen Programm von einem USB-Stick aus durchgeführt werden.

Aktuell besteht kein Schutz gegen diesen Angriff

„Diese Angriffsmethode funktioniert gegen sämtliche von uns getestete und handelsübliche Firmenlaptops. Deswegen können Unternehmen keineswegs sicher sein, ob ihre Daten noch sicher sind, wenn ein Computer vermisst wird. Auf 99 Prozent aller Firmenlaptops sind Zugangsdaten für Unternehmensnetzwerke. Dies gibt Angreifern eine beständige und zuverlässige Methode, um Unternehmensziele auszuspionieren oder zu schädigen“, sagt Segerdahl. „Es gibt keinen einfachen Lösungsweg für dieses Problem. Es ist also ein Risiko, mit dem Unternehmen aktuell selbst fertig werden müssen.“

Segerdahl hat die Forschungsresultate seines Teams mit Intel, Microsoft und Apple geteilt, damit die PC-Branche die Sicherheit gegenwärtiger und künftiger Produkte verbessern kann. Die Hersteller haben das Risiko allerdings heruntergespielt. Microsoft betonte, dass eine Startup-PIN für Bitlocker gegen Cold-Boot-Attacken schützen könne. Apple hat dem US-Magazin Techcrunch mitgeteilt, dass alle mit T2-Chip ausgestatteten Macs von der Schwachstelle nicht betroffen sind. Dabei handelt es sich allerdings lediglich um den iMac Pro und die MacBook Pro Reihe von 2018. Apple suche aber dennoch nach Möglichkeiten, auch für Besitzer von Macs ohne T2-Chip eine Lösung zu finden.

Segerdahl geht nicht davon aus, dass sich kurzfristig eine Lösung finden lässt. Er rät Unternehmen dazu, sich selbst auf solche Angriffe vorzubereiten. Eine Methode könnte sein, Laptops so zu konfigurieren, dass sie sich automatisch ausschalten oder in den Schlafmodus gehen. Anwender müssten dann die Bitlocker PIN jedes Mal eingeben, wenn Windows hochfährt oder wiederhergestellt wird. Angestellte, besonders Führungskräfte und Außendienstmitarbeiter sollten über Cold Boot-Attacken und ähnliche Bedrohungen mit besonderer Dringlichkeit informiert werden. Die IT-Abteilungen sollten einen Reaktionsplan griffbereit haben, um mit vermissten Laptops korrekt umzugehen.

Opsec – Kniffe für mehr Datensicherheit

Sicher auf Reisen

Opsec – Kniffe für mehr Datensicherheit

17.08.16 - Opsec oder Operations Security kann auf der Geschäftsreise die Frage, wer eventuell unberechtigt Daten abgegriffen hat, überflüssig machen. Wie aber schützt man sich, seine Gerätschaften und Daten, ohne gleich zum Militärexperten zu werden? lesen

„Eine schnelle Reaktion, die die Zugangsdaten sperrt, macht gestohlene Laptops weniger wertvoll für die Angreifer. Die zuständigen Personen für IT-Sicherheit und Notfallmanagement sollten sich auf ein solches Szenario vorbereiten und es trainieren. Die jeweiligen Mitarbeiter sollten dringend darauf hingewiesen werden, dass die IT-Abteilung sofort informiert werden muss, wenn ein Gerät verloren geht oder gestohlen wird“, rät Segerdahl. „Sich auf solche Fälle vorzubereiten, ist bessere Praxis als einfach anzunehmen, dass Geräte nicht physisch von Hackern manipuliert werden können, weil das offensichtlich nicht der Fall ist.“

Olle Segerdahl und sein Kollege Pasi Saarinen, ebenfalls Security Consultant bei F-Secure, haben ihre Forschungsergebnisse auf der SEC-T Konferenz am 13. Sep. 2018 präsentiert. Zusätzlich werden sie auf der Microsoft BlueHat v18 Konferenz in den USA am 27. September 2018 Bericht erstatten.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45495970 / Sicherheitslücken)