Cold Boot-Attacke erlaubt Passwort-/Datenklau

Eine Schwachstelle in der Firmware moderner Laptops kann die Verschlüsselung von Informationen (oder Passwörter) offen legen. Das Ganze wurde von dem Sicherheitsanbieter F-Secure als Cold Boot-Attack dokumentiert. Gegenwärtige Sicherheitsmaßnahmen reichen nicht aus, um Daten in verlorenen und gestohlenen Laptops zu schützen.


Anzeige

Das Ganze ging mir per Presseinfo über F-Secure zu, aber auch auf Twitter findet sich die nachfolgende Meldung inklusive Video (ein weiteres Video findet sich in diesem Artikel).

Schwachstelle erfordert Zugriff auf das Gerät

Die von F-Secure in modernen Computern entdeckte Schwachstelle ermöglicht es Hackern, Verschlüsselungscodes und andere kritische Informationen aus dem Arbeitsspeicher des Systems zu stehlen. Die Forscher von F-Secure warnen Hersteller und Nutzer von PCs, dass die gegenwärtigen Sicherheitsmaßnahmen nicht ausreichen, um Daten in verlorenen und gestohlenen Laptops zu schützen.

Allerdings müssen die Angreifer physischen Zugriff auf den Computer haben, bevor sie die Schwachstelle ausnützen können. Ein Dieb braucht aber nur etwa fünf Minuten, um den Angriff erfolgreich durchzuführen, wenn er sich das Gerät verschafft hat.

„Unternehmen sind normalerweise nicht darauf vorbereitet, sich vor Angreifern zu schützen, die sich den Computer eines Mitarbeiters physisch angeeignet haben. Wenn ein Sicherheitsproblem in Geräten größerer PC-Hersteller gefunden wird, wie die Schwachstelle, die wir aufgedeckt haben, muss davon ausgegangen werden, dass viele Firmen verwundbar sind. Unternehmen sind darauf aktuell nicht vorbereitet oder aufmerksam gemacht worden, dass es diese Verwundbarkeit gibt“, so Oliver Segerdahl von F-Secure.

Angriffsmethode wird seit 2008 genutzt

Die Schwachstelle erlaubt es Angreifern, die physischen Zugriff auf einen Computer haben, eine sogenannte Cold Boot-Attacke auszuführen. Diese Angriffsmethode ist Hackern bereits seit 2008 bekannt. Bei Cold Boot-Attacken wird ein Computer neu gestartet ohne, dass er im Vorfeld korrekt heruntergefahren wurde. Im Anschluss wird auf die Daten zugegriffen, die kurzzeitig noch im RAM verfügbar sind.

Aktuelle Laptops überschreiben mittlerweile den Arbeitsspeicher (RAM), um genau diese Art der Cold Boot-Attacken für den Datendiebstahl zu verhindern. Allerdings haben Oliver Segerdahl und sein Team eine Methode herausgefunden, wie sich der Überschreibprozess ausschalten lässt und die seit über zehn Jahren bekannte Cold Boot-Attacke wieder funktioniert. Segerdahl erklärt:

„Gegenüber der klassischen Cold Boot-Attacke erfordert es einige Zusatzschritte, aber der Angriff ist effektiv gegen alle aktuellen Laptops, die wir getestet haben. Diese Bedrohungsart ist hauptsächlich in den Fällen relevant, in denen Geräte gestohlen oder sonst illegal angeeignet werden. Dann haben Angreifer viel Zeit die Attacke auszuführen.“ 

So funktioniert der Angriff


Werbung

Die Firmware-Einstellungen, die das Verhalten des Boot-Prozesses kontrollieren, sind nicht gegen Manipulation durch einen physischen Angreifer geschützt. Mit einem einfachen Hardware-Tool kann ein Angreifer den Speicherchip (Non-volatile Memory Chip) überschreiben, der diese Firmware-Einstellungen enthält. Im Anschluss kann er den Speicher überschreiben und einen Boot-Vorgang von externen Geräten zulassen. Die eigentliche Cold Boot-Attacke kann mit einem speziellen Programm von einem USB-Stick aus durchgeführt werden.

Aktuell besteht kein Schutz gegen diesen Angriff

„Diese Angriffsmethode funktioniert gegen sämtliche von uns getestete und handelsübliche Firmenlaptops. Deswegen können Unternehmen keineswegs sicher sein, ob ihre Daten noch sicher sind, wenn ein Computer vermisst wird. Auf 99 Prozent aller Firmenlaptops sind Zugangsdaten für Unternehmensnetzwerke. Dies gibt Angreifern eine beständige und zuverlässige Methode, um Unternehmensziele auszuspionieren oder zu schädigen“, sagt Oliver Segerdahl. „Es gibt keinen einfachen Lösungsweg für dieses Problem. Es ist also ein Risiko, mit dem Unternehmen aktuell selbst fertig werden müssen.“

Segerdahl hat die Forschungsresultate seines Teams mit Intel, Microsoft und Apple geteilt, damit die PC-Branche die Sicherheit gegenwärtiger und künftiger Produkte verbessern kann. F-Secure geht nicht davon aus, dass sich kurzfristig eine Lösung finden lässt. Oliver Segedahl rät Unternehmen dazu, sich selbst auf solche Angriffe vorzubereiten. Eine Methode könnte sein, Laptops so zu konfigurieren, dass sie sich automatisch ausschalten oder in den Schlafmodus gehen. Anwender müssten dann die Bitlocker PIN jedes Mal eingeben, wenn Windows hochfährt oder wiederhergestellt wird. Angestellte, besonders Führungskräfte und Außendienstmitarbeiter sollten über Cold Boot-Attacken und ähnliche Bedrohungen mit besonderer Dringlichkeit informiert werden. Die IT-Abteilungen sollten einen Reaktionsplan griffbereit haben, um mit vermissten Laptops korrekt umzugehen.


Anzeige

Dieser Beitrag wurde unter Sicherheit abgelegt und mit verschlagwortet. Setze ein Lesezeichen auf den Permalink.

3 Kommentare zu Cold Boot-Attacke erlaubt Passwort-/Datenklau

  1. Dieter sagt:

    Ich denke es gibt schon Möglichkeiten sich zu schützen.
    Segerdahl weist anderswo darauf hin, dass es einen Unterschied gebe zwischen einem Computer im Ruhezustand und einem, der ausgeschaltet ist. Wird ein Rechner in den Ruhezustand versetzt, befinden sich die Schlüssel weiterhin im Arbeitsspeicher – und können abgegriffen werden. Wird der Rechner dagegen ausgeschaltet, werden sie gelöscht.
    Die Laptops sollten im besten Fall so konfiguriert werden, dass sie beim Zuklappen automatisch herunterfahren statt in den Schlafmodus zu wechseln.
    Oder wie im obigen Artikel beschrieben:
    Anwender müssten dann die Bitlocker PIN jedes Mal eingeben, wenn Windows hochfährt oder wiederhergestellt wird.

    Wie sieht es bei meiner Self-Encrypting Drive (SED) Verschlüsselung aus?
    Die verlässt den Controller Chip z.B. einer SSD nicht (befindet sich also nicht im Ram)
    Bin ich vor diesem Angriff damit geschützt? Ich habe zudem den Ruhezustand und die Schnellstartfunktion deaktiviert unter Windows 10.

  2. Micha sagt:

    Ich habe mir die Quelle mal durchgelesen. Nach der Beschreibung ist der Sleep Modus (S3) betroffen.
    Der Ruhezustand (S4) und normales Herunterfahren jedoch nicht.

    Somit müsste man nur S3 deaktivieren.
    Zusätzlich sollte die Sicherheitsabfrage von Bitlocker einschaltet werden so das jedes mal PIN abgefragt durchgeführt wird.

  3. DasO sagt:

    https://www.golem.de/news/cold-boot-attack-rebootet-forscher-hebeln-verschluesselung-von-computern-aus-1809-136576.html
    Aus der Meldung:

    “Angegriffen werden können eingeschaltete verschlüsselte Geräte, auch im Bereitschaftsmodus (Suspend to RAM). Um eine Cold-Boot-Attacke durchführen zu können, brauchen die Angreifer physischen Zugriff auf das Gerät. Das Geräte oder Teile davon müssen beispielsweise mit Kältespray heruntergekühlt werden. Die Daten werden binnen Sekunden oder Minuten ausgelesen. Ganz trivial ist das nicht, aber technisch möglich und umsetzbar. Möglich ist auch, den heruntergekühlten Arbeitsspeicher auszubauen und auf einem anderen System auszulesen, sofern er nicht fest verbaut ist. Hierfür muss der Schutzmechanismus gegen die Cold-Boot-Attacke nicht umgangen werden.

    Die Verschlüsselung ist angreifbar, da die Kryptoschlüssel im Arbeitsspeicher vorrätig gehalten werden, um die Daten von der Festplatte oder SSD entschlüsseln zu können. “

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.