Die Herstellung von komplexen IT-Systemen erfolgt heutzutage nicht mehr nur über einen einzigen Hersteller. Die unterschiedlichen Produktionsschritte, vom Design bis hin zur Ausführung und Überwachung dieser obliegt nun in den Händen mehrere Parteien. Obwohl dieser Ansatz der Arbeitsteilung unter wirtschaftlichen und zeitlichen Aspekten klare Vorteile bietet, besteht genau dort das Risiko der bösartigen Manipulation an den Hardware-Komponenten. Dieser Beitrag beleuchtet im Folgenden die Problematik hinter den Hardware-Trojanern.
Der Inhalt im Überblick
Das Hardware-Trojaner Supermicro Drama 2018
Schon bereits 2018 machten Hardware-Trojaner Schlagzeilen in diversen Nachrichtenportalen. Das amerikanische Medienunternehmen „Bloomberg“ war einer der wenigen, die durch die Veröffentlichung eines Artikels den Fokus auf die Thematik lenkte und Aufmerksamkeit erregte. Es hieß, dass die US-Firma Supermicro Computerplatinen bereitstellten, die während der Anfertigung in Asien mit zusätzlichen Spionagechips ausgestattet wurden. Diese dann in Servercomputern eingebetteten, modifizierten Hauptplatinen, sollen einen externen Zugriff auf die Server ermöglicht haben. Unter den betroffenen Computerfirmen waren Amazon und Apple, die diese für ihre Cloud-Server nutzten. Die beschriebenen Darstellungen seitens „Bloomberg“ sind jedoch von den drei beteiligten Unternehmen zurückgewiesen worden.
Ob es sich nun tatsächlich um einen Angriff handelte oder doch nur eine Fehlinterpretation bezüglich des Designs der Platinen vorlag, gilt bis heute noch als ungeklärt.
Ungeachtet dessen ermöglichte dieser Fall eine neue Sicht auf die bestehende Problematik, dass Hardware-Komponenten von IT-Systemen durchaus in den diversen Schritten des Fertigungsprozesses Angriffsvektoren aufweisen, die Angreifer für böse Zwecke ausnutzen können.
Wie kommt solch ein Angriff zustande?
Die Produktionskette für Hardwarekomponenten beruht seit langem nicht mehr auf einen einzigen Hersteller sowie Zulieferer. Durch die weitreichende Globalisierung werden zunehmend die Produktionsstätte ins Ausland ausgelagert. Die Überwachung, Prüfung sowie die Anfertigung der Waren obliegen dementsprechend mehreren Parteien, wodurch die Übersichtlichkeit der Beteiligten nicht mehr gegeben ist.
Die Gefahr der Manipulation an Hardware-Bausteinen kann aus diesem Grund von verschiedenen Personengruppen ausgehen. Es können Fabrikmitarbeiter, externe Dienstleister oder staatliche Akteure in Frage kommen, die eben im Laufe des Herstellungsprozesses Zutritt zu der Hardware-Material gewährt bekommen.
Ebenso kann die Intension hinter solchen Angriffen vielfältig sein. In den häufigsten Fällen sind die folgenden Aspekte ausschlaggebend:
- Rufschädigung
- Ausspähen von personenbezogenen Daten oder Firmengeheimnisse und deren Know-hows
- Sabotage im Rahmen von Konkurrenzkämpfen
- Sich auf kurze oder langfriste Sicht Vorteile verschaffen
Die Verbreitungswege von Hardware-Trojanern im Überblick
Grundsätzlich könnte ein Hardware-Trojaner in jedem der Teilschritte der Produktionskette implantiert werden. Diese lassen sich wie folgt einteilen:
Entwicklungs-/Designphase
Schon während der Entwicklung oder des Designs eines Produktes können schadhafte Funktionen integriert werden. Auf dieser Ebene sind Integrated Circuit Trojaner (IC-Trojaner), die eine spezielle Form von Hardware-Trojaner darstellen, häufig vertreten. Hierbei werden absichtliche Veränderungen auf der Schaltkreisebene vorgenommen, um gezielte Schwachstellen oder versteckte Funktionen zu platzieren. IC-Trojaner sind besonders gefährlich, da sie auf der Ebene der Schaltkreise tief in der Hardware verankert und somit nur schwer zu erkennen sind.
Produktionsphase
Ebenso ist es nicht selten, dass im Laufe der Produktion Modifikationen vorgenommen werden können. Aufgrund des hohen Aufkommens der ins Ausland ausgelagerten Manufakturen, kann die Ware in nicht vertrauenswürdigen Fabriken von den Mitarbeitenden manipuliert werden. Ein bekannter Beispielfall ist hier Supermicro.
Auslieferungsphase
Auf dem Transportweg zum Endabnehmer sind ebenfalls Manipulationsmöglichkeiten vorhanden. Angriffe, die in dieser Phase durchgeführt werden, eignen sich besonders, wenn gezielt Unternehmen oder einzelne Personen geschädigt werden sollen. Dadurch, dass die Auslieferung der Waren zumeist auf globaler Ebene über verschiedene Distributoren stattfindet, leidet die Nachverfolgbarkeit, was dem Angreifer zusätzlich in die Karten spielt.
Laut dem Whistleblower Edward Snowden werde das Abfangen und Manipulieren von Hardware-Bausteinen auf dem Transportweg von der National Security Agency (NSA) häufig praktiziert.
Einsatz im Feld
Auch wenn die Ware den Fertigungsprozess ohne Komplikationen überstanden haben, ist die Gefahr noch nicht vorbei. Wo am Ende die Hardware vor Ort eingesetzt wird, ist ein weiterer Faktor, der in Betracht gezogen werden sollte. Nicht alle Umgebungen sind zwingend vertrauenswürdig oder sicher. Darunter fallen beispielsweise Umgebungen wie Funkmasten, unbesetzten Umspannwerken für Energieversorgung oder Geräte, die der allgemeinen Öffentlichkeit zugänglich sind. Das Anschließen von Hardware-Trojaner vor Ort ist in solchen Fällen nicht ausgeschlossen. Dies zeigt ein Ereignis aus dem Jahr 2013. Kriminelle hatten sich damals den Zugang zu einem Geschäftscomputer einer Bank verschafft, indem sie einen Hardware-Trojaners auf der Computerrückseite installierten. Dies ermöglichte den Angreifern angeblich das Abfangen von Tastatureingaben und Monitorsignalen.
Wie können Hersteller für eine sichere Produktion sorgen?
Trojaner auf Hardwareebene sind im Vergleich zu den geläufigen Software-Trojaner nicht so einfach zu erkennen. Antivirus-Programme, Intrusion Detection Systeme oder Firewalls sind Sicherheitskonzepte, deren Effektivität in dem Falle nicht zum Tragen kommen können. Doch welche Alternativen gibt es?
Strukturelle Maßnahmen in der Fertigung
Unter diesem Punkt hat der Vertrauensaspekt einen hohen Stellenwert. Der Fokus liegt hierbei mit allem im Fertigungsprozess involvierten Partner Vertrauen aufzubauen. Das bedeutet unter anderem einen zu häufigen Wechsel der Produktionspartner zu vermeiden und durch regelmäßige Kommunikation und Austausch eine vertrauenswürdige Arbeitsumgebung zu schaffen. Zudem sollten die Hersteller in das Personal investieren, das heißt für faire Löhne sowie gute Arbeitsbedingungen sorgen. Damit minimiert man die Chance, dass Fabrikmitarbeiter bestochen oder für böse Absichten abgekauft werden können.
Ein weiterer Ansatz besteht darin, der Globalisierung entgegenzuwirken und die vertrauenswürdigen Produktionsstätten weitestgehend innerhalb Europas zu halten. Dies soll die logistische Nachverfolgung erleichtern und Manipulationsmöglichkeiten während der Anfertigung ausschließen.
Darüber hinaus ist das „Split Manufacturing“ ebenfalls ein vielversprechender Ansatz. Dieser beschreibt die Idee die Integrated Circuits (IC) in sicherheitsrelevante und nicht sicherheitsrelevante Komponenten aufzuteilen. Bausteine, die besonderer Sicherheit bedürfen, sollen entsprechend in vertrauenswürdigen Fabriken in Europa angefertigt werden. Die Herstellung der restlichen Bestandteile können wie gewohnt außerhalb Europas stattfinden. Jenes bewirkt die Einschränkung, dass Produktionsstandorte fernab Europas nicht über das vollständige Hardware-Design verfügen und somit die Kompromittierung durch mögliche Hardware-Trojaner erschwert wird.
Golden Model als das fehlerfreie Vorzeigebeispiel
Für den Schutz auf der Chip- und Transistorebene gibt es derzeit noch keine anerkannten Methoden. In der Theorie werden Ansätze wie die Analyse von Seitenkanaleffekten oder Sichtprüfung mittels KI oder Röntgen genannt. Jedoch setzt diese die Existenz eines Golden Model voraus. Ein Golden Model bzw. Sample beschreibt einen im selben Herstellungsverfahren produzierten Chip, der verifiziert und fehlerfrei ist. Er dient als Maßstab/Vergleichsmodell für die Produktion weiterer Chips. Allerdings verkomplizieren Mikrochips durch deren sehr kleinen Strukturgrößen und zahlreichen Transistoren die Möglichkeit ein Chip gewiss als manipulationsfrei zu verifizieren. Hinzu komm, dass ein Verständnis bezüglich der Funktionalität nötig ist, der einem dabei hilft ein Mikrochip als Trojaner-frei klassifizieren zu können. Wie man sehen kann, ist die Fertigung eines Golden Model für die praktische Anwendung nicht so einfach und demnach nur in begrenztem Umfang nützlich.
Ein aktives Forschungsfeld mit Ausbaupotenzial
Auch wenn weltweit bereits in diesem Feld geforscht wird, gibt es weiterhin Lücken, die gefüllt werden müssen. Nicht nur existieren noch keine anerkannten Methoden, sondern Forscher und Forscherinnen sind darauf angewiesen, dass die Hersteller transparent sind und Interesse an der Veröffentlichung und Dokumentation von Fällen zeigen. Durch die fehlende Kooperation erschwert dies jedoch die Findung von möglichen zukünftigen Verfahren. Dennoch stellt uns die wissenschaftliche Literatur bereits potenzielle Lösungsansätze bereit, wo es sich zum Reinlesen durchaus lohnt.
