Common Criteria müssen selbst auf den Prüfstand TPM-Fail bei STMicroelectronics und Intel

Nachdem Microsoft bereits zum Patchday im November vor Lücken in Trusted Platform Modules (TPM) gewarnt hatte, gibt es nun weitere Details zu TPM-Fail. Und die lassen an der Aussagekraft von Zertifizierungen wie Common Criteria zweifeln.

Anbieter zum Thema

Intel Deutschland GmbH

Fujitsu Technology Solutions GmbH

TXOne Networks

Dass es aktuell Probleme beim Trusted Platform Modules (TPM) gibt, ist spätestens seit Microsofts vergangem Patchday klar. Zu diesem veröffentlichte der Softwarehersteller ein entsprechendes, wenngleich noch recht vages Advisory. Mittlerweile gibt es weitere Details zu der nunmehr als TPM-Fail bezeichneten Lücke.

Microsoft Patchday November 2019

Kritische Patches und Handlungsbedarf

Webseite und Paper zu den Schwachstellen

Als Einstieg bietet sich Interessierten die eigens eingerichtete Webseite tpm.fail an. Die liefert nicht nur den Link zu einem ausführlichen Paper der Entdecker. Zudem skizziert die Seite bereits das Bedrohungsszenario in Kürze.

In Deutschland und den USA tätige Forscher haben demnach Schwachstellen bei der Erzeugung kryptographischer Signaturen entdeckt. Die Dauer des Prozesses hängt vom jeweiligen Geheimnis ab. Angreifer könnten das ausnutzen, um private 256-Bit-Keys zu erraten und Signaturen zu fälschen, die auf elliptischen Kurven basieren. Damit ließen sich verschiedene Authentifizierungsmaßnahmen umgehen.

Als eine praktische Anwendung in Netzwerken beschreiben die Forscher den Angriff auf einen StrongSwan VPN Server – und schränken dabei zugleich ein: Eine solche Attacke lasse sich nicht passiv durchführen; der Erfolg sei zudem von der Übertragungsqualität und zeitlicher Varianz abhängig – in leistungsfähigen Cloud-Umgebungen ist demnach eine höhere Erfolgsquote zu erwarten als bei weniger stabilen Übertragungswegen.

CVEs, Fixes und Workarounds

Von der Schwachstelle betroffen ist einerseits auf den Trusted Computing Group Specifications 2.0 basierende Hardware des Herstellers STMicroelectronics (CVE-2019-16863), die in Computern gängiger Marken anzutreffen sei. Der TPM-Hersteller das Design seiner TPM-Chips mittlerweile angepasst und vertröstet Nutzer bereits installierter Lösungen an die jweiligen Software- und Systemhersteller.

Bei Intel ist die Lücke (CVE-2019-11090) im firmware-based TPM (fTMP) zu finden, das den TPM-Fail-Entdeckern zufolge seit 2013 respektive der Haswell-Generation in den Prozessoren implementiert wird. Der Chiphersteller widmet sich dem Problem im Rahmen mehrerer Sicherheitshinweise und verweist auf sichere Versionen seiner Intel Platform Trust Technology (PTT) und Intel Server Platform Services (SPS). Die sollen sich Anwender dann aber anscheinend selbst zusammensuchen – weiterführende Links fehlen.

Einen weiteren Workaround liefern die TPM-Fail-Entdecker in Abschnitt 7 ihres Papers (PDF). So könne ein Intrusion Detection System (IDS) mögliche Attacken zumindest teilweise erkennen. Problematisch seien dabei jedoch die Gefahr von False Positives sowie Angreifer, die entsprechende Sicherheitsgeräte gezielt überlisten – etwa mit zusätzlichen Verzögerungen oder in regulären Netzwerktraffic versteckten Anfragen.

Einordnung und Kritik

Wenngleich sich STMicroelectronics und Intel bei ihren Handlungsempfehlungen recht spartanisch geben, relativieren beide Hersteller das Bedrohungspotential der jetzt bekannt gewordenen Schwachstelle. So stuft Intel Schwachstelle lediglich als mittelschwer sein, STMicroelectronics betont: Das Problem sei lediglich akut, wenn man auf den Elliptic Digital Signature Algorithm (ECDSA) setze und die jeweils genutzte Plattform noch keine Sicherungsmaßnahmen implementiert habe.

Ein grundlegenderes Problem können die Anbieter damit jedoch nicht entkräften. Laut den Entdeckern hinter TPM-Fail seien von der Schwachstelle betroffenen Hardwarechips nämlich gemäß Common Criteria EAL4+ zertifiziert worden – eigentlich auszuschließende Schwachstellen wurden dabei aber offenbar übersehen. Das bestätige erneut, dass der gesamte Prüfprozess der Common Criteria for Information Technology Security Evaluation selbst einer kritischen Betrachtung bedarf – so die Forscher.

(ID:46245423)