Schwerpunkte

Interview mit Prof. Hartmut Pohl

Security by Obscurity ist am Ende

05. März 2018, 13:20 Uhr   |  Hagen Lang


Fortsetzung des Artikels von Teil 2 .

Sicherheitslücke Management-Engine

Gibt es aktuelle Beispiele für diese Security by Obscurity?

Nehmen Sie nur die Intel-Management-Engine. Es handelt sich hierbei um eine Komponente der wichtigsten Intel-Prozessoren der Serien Intel Core, Xeon, Atom, Pentium und Celeron. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat hierzu sowie zur Intel-Trusted-Execution-Engine und den Intel-Server-Platform-Services eine Warnmeldung veröffentlicht, weil mehrere in diesen enthaltenen Sicherheitslücken Angreifern eine komplette Systemübernahme ermöglichen.

Wir haben es mit Sicherheitslücken zu tun, die den Großteil der wichtigsten Prozessoren des größten Prozessorherstellers der Welt betreffen. Angreifer können Schutzmechanismen unterlaufen und im Erfolgsfall ein auf einem der genannten Prozessoren basierendes System komplett unter ihre Kontrolle bringen. Intel informiert in einem Sicherheitshinweis über die Schwachstelle und bietet Detection-Tools für Linux und Windows sowie Sicherheits-Updates für die betroffenen Firmware-Versionen. Dell, Fujitsu, Lenovo und andere haben ebenfalls Sicherheits-Patches bereitgestellt.

Dann ist ja Besserung in Sicht.

Nein, das Patchen der Sicherheitslücken ist bei der Management-Engine noch nicht einmal die halbe Miete: Die Crux der Management-Engine ist, dass sich mit diesem ab Werk verbauten Subsystem auf alle Komponenten der Chips wie Prozessoren, Speicher, Peripherie-Geräte zugreifen lässt. Die Management-Engine ist nicht dokumentiert! Der Code nicht veröffentlicht. Sie versendet nachweislich Daten über das Internet und dieser Datenverkehr ist verschlüsselt!

Es gibt keine Dokumentation darüber, was diese Software genau anstellt und welche Daten sie zu Intel oder sonst wohin schickt?

Fragen sind erlaubt – werden aber nicht beantwortet. Nicht nur kann man für die Zukunft die Entdeckung weiterer Bugs in der Management-Engine erwarten, ihr Zugriff auf Daten der User-Systeme wird auch künftig völlig undokumentiert erfolgen und sie wird weiter verschlüsselt und ebenfalls undokumentiert Daten unbekannten Inhalts „nach Hause“ schicken.

Was sollte man angesichts dessen tun?

Wenn Sie auf Nummer Sicherheit gehen wollen: Wir haben spezielle Sicherheitsmaßnahmen entwickelt, um die Aktivitäten der Management-Engine zu unterbinden. Diese Sicherheitsmaßnahmen können von Unternehmen eingesetzt werden.

Man könnte sich diese Aufgabe „Absicherung von PCs und Rechnern“ in Deutschland als BSI-Aufgabe vorstellen, dann müssten aber dem BSI hinreichend weitere Stellen im unteren dreistelligen Bereich zugewiesen werden. Die Entwicklung hochsicherer Prozessoren in Europa und darauf aufbauender Firmware, Betriebssysteme usw. macht nicht nur sicherheitspolitisch Sinn. Sie dürfte in Zukunft auf eine stark wachsende Nachfrage der Kunden nach dokumentierter Sicherheit treffen.

Nutzern kann man darüber hinaus nur den üblichen Cocktail an heute unverzichtbaren Sicherheitsmaßnahmen empfehlen: flächendeckender Einsatz von Sicherheitssoftware wie Monitoring-Tools, Antiviren-Software und Malware-Erkennung, Software nur aus vertrauenswürdigen Quellen zu installieren und die neuesten Security-Patches in allen Systemen einzusetzen. Die Software-Patches sorgen allerdings nur für eine Abmilderung der Gefahr. Um den Meltdown- und Spectre-Exploits den Garaus zu bereiten, muss der Fehler in der Chip-Architektur behoben werden, was bedeutet, dass erst die nächsten CPU-Generationen Abhilfe schaffen können.

Seite 3 von 4

1. Security by Obscurity ist am Ende
2. Die Risiken der beiden Schwachstellen
3. Sicherheitslücke Management-Engine
4. Sicherheitsmaßnahmen und Abwehrmaßnahmen

Auf Facebook teilen Auf Twitter teilen Auf Linkedin teilen Via Mail teilen

Verwandte Artikel

softScheck GmbH, INTEL GmbH