Einige werden sich erinnern: Dieses Jahr wurde im Februar über eine Analyse der IT-Firma Kaspersky Lab berichtet, in der Details nachzulesen waren, wie die Firmware von Festplatten großer Hersteller gezielt infiltriert worden war. Das US-Spionageprogramm lief unter dem Namen The Equation Group.
Wir haben bei den Festplatten-Herstellern nachgefragt, ob und wie sie auf die Veröffentlichungen reagieren, was sie zu tun gedenken und ob sie beispielsweise über signierte Firmware nachdenken. Folgende Fragen wurden am 11. März allen betroffenen Herstellern (teilweise in englischer Übersetzung) geschickt:
Welche Reaktion sind seitdem seitens Ihres Unternehmens eingeleitet und welche Schritte im Nachgang der Berichterstattung unternommen worden? Bietet Ihr Unternehmen Detektionswerkzeuge an, um Betroffenen zu erlauben, ihre Festplatten zu checken? Werden Sie in Zukunft Produkte mit signierter Firmware anbieten? Planen Sie die Einführung eines mit der Hardware verbundenen Verifikationsverfahrens, das verhindert, dass Firmware, die nicht von Ihnen kommt, auf Ihren Festplatten landet? Wenn ja, wird es dafür Audits geben? Haben Sie Ihre Sicherheitsmechanismen bei der Entwicklung verändert, um ein Pre-exploiting ab Werk zu verhindern?
Außerdem haben wir uns mit weiteren Fragen auch an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gewandet. Die zusätzlichen Fragen lauteten: Hat sich das BSI einen Überblick verschafft, ob und welche informationstechnischen Systeme in Behörden betroffen waren oder sind?
Was empfiehlt das BSI Betroffenen?
Letztlich geht es um Antworten auf die Fragen, was angesichts der Veröffentlichung eigentlich die Optionen der normalen Nutzer sind. Und wie lässt sich die Benutzung einer infiltrierten Festplatte verhindern?
Quelle: Gatis Gribusts CC BY-NC 2.0
Angefragt worden waren neben dem BSI die Unternehmen Micron, Western Digital, Seagate, Toshiba und Hitachi, die allesamt in dem Kaspersky-Bericht namentlich erwähnt worden waren. Wir haben in einigen Fällen nach einem Monat (am 13. April) ein zweites Mal gefragt, ob wir noch Antworten auf unsere Fragen erhalten werden.
Antworten der Festplatten-Hersteller
Micron, Hitachi und Western Digital haben auch auf mehrmalige Nachfrage keinerlei Antworten gesendet, auch keine kopierten Standardsätze. Nicht mal den Mailerhalt mochten die Unternehmen bestätigen.
Seagate antwortet unmittelbar mit einem kurzen, eher generischen Statement:
Seagate has no specific knowledge of any allegations regarding third-parties accessing our drives. Seagate is absolutely committed to ensuring the highest levels of security of the data belonging to our users. For over seven years Seagate has been shipping drives offering industry-leading levels of self encryption, while putting in place secure measures to prevent tampering or reverse engineering of its firmware and other technologies.
Sie wissen von nichts und sind auf keinen Aspekt der Fragen eingegangen.
Toshiba gab sich da etwas mehr Mühe und versprach immerhin, die Fragen weiterzuleiten. Deren Hauptquartier in Japan mochte jedoch kein offizielles Statement abgeben und meldete sich am 26. März mit dem Hinweis zurück, nicht detailliert auf unsere Fragen eingehen zu wollen. Man übermittelte nur folgende Antwort:
Toshiba has no knowledge of such spyware, and does not know if the report is accurate. Toshiba has not provided our HDD or SSD source code to government agencies in support of any cyber-espionage efforts. Toshiba is continuing to investigate this matter. We continue to operate under the principles of integrity and compliance and are committed to supply safe, reliable and high quality products.
Man weiß also auch von nichts, wird aber in dieser Sache nachforschen. Das Ergebnis dieser Nachforschungen haben wir einige Wochen später erfahren wollen, woraufhin wir am 8. Mai folgendermaßen beschieden wurden: Toshiba has no additional comment on this. Sämtliche Hersteller sehen also offenbar keine Veranlassung, auch nur teilweise auf die Fragen einzugehen.
Antworten des BSI
Das BSI ließ sich Zeit für die Antworten, schickte auf weitere Nachfrage am 16. April dann aber folgende Antwort, die im Unterschied zu allen Festplatten-Herstellern Hand und Fuß hat und tatsächlich auf die inhaltlichen Fragen einging. Auf die Frage, ob das BSI einen Überblick hätte, ob und welche informationstechnischen Systeme in Behörden betroffen waren oder sind und was es (potentiell) Betroffenen empfiehlt, erklärt das Bundesamt:
Eine Untersuchung auf den sogenannten Root-Cause (also die infizierte Firmware) ist in großen Netzwerken von Unternehmen und Behörden nicht praktikabel. Stattdessen wertet das BSI Anomalien im Verkehr der Regierungsnetze aus, um etwaige Datenabflüsse oder Steuerungskommandos an oder von infizierten Systemen zu identifizieren. Bisher gab es keinerlei Hinweise auf betroffene Systeme in den Regierungsnetzen. In einem konkreten und begründeten Verdachtsfall können sich Behörden an das BSI wenden, um gegebenenfalls in Zusammenarbeit eine individuelle Untersuchung einzuleiten.
Ob das BSI nun Änderungen bei der Prüfung von Computer-Komponenten in Reaktion der von Kaspersky beschriebenen Angriffe vornimmt oder ob es Warnungen ausspricht, und wenn ja, welcher Art, wollten wir ebenfalls wissen. Man antwortet leicht ausweichend und verweist auf die BSI-typische Arbeitsweise:
Im BSI werden Computer-Komponenten im Rahmen eines Zertifizierungs- oder Zulassungsverfahrens bei entsprechender Beantragung untersucht. Darüber hinaus können Untersuchungen in konkreten, individuellen Verdachtsfällen im Bereich Sabotage/Spionage initiiert werden. Es findet allerdings keine flächendeckende proaktive Überprüfung von Standard-Computer-Komponenten statt. Der von Kaspersky beschriebene Angriff muss nicht auf Festplatten beschränkt sein. Die Abwehr derart komplexer Angriffsmuster erfordert grundlegende Änderungen in den Sicherheitskonzepten in vielen Bereichen. Ob dies praktikabel ist, muss sich noch zeigen. Die von Kaspersky Labs veröffentlichten Signaturen wurden in die Sicherheitskomponenten der Regierungsnetze eingepflegt.
Wie das BSI die Gefahr des Pre-exploiting ab Werk sieht und welche Sicherheitsmechanismen bei der Entwicklung es empfiehlt, um ein Pre-exploiting ab Werk zu verhindern, haben wir auch gefragt. Das BSI stellt hier das erhebliche Entdeckungsrisiko in den Vordergrund:
Das Pre-exploiting ab Werk ist das Szenario, das am wenigsten wahrscheinlich ist, da es letztlich mit einem ungewollt hohen Entdeckungsrisiko verbunden ist. Sollte es dem Angreifer gelingen, dem Hersteller eine mit gültiger Signatur versehene, modifizierte Firmware unterzuschieben, ist eine Detektion extrem schwer: Alle Firmwarevarianten aus vermeintlich sauberen Quellen wären ebenfalls verseucht, so dass die Manipulation durch Vergleich aus verschiedenen Quellen nicht mehr entdeckt werden könnte. In einem solchen Fall bliebe nur noch die Analyse der Firmware, die ohne nähere Anhaltspunkte eine extrem große Herausforderung darstellt. Nach aktuellem Erkenntnisstand wahrscheinlicher ist ein nachträgliches Einbringen der Schadfunktionen. Dieses Risiko kann durch sichere Lieferketten deutlich reduziert werden.
Wie dieses Risiko durch sichere Lieferketten deutlich reduziert werden kann, bleibt aber das Geheimnis des BSI.
Ein Geheimnis für das BSI selbst ist es, ob und welche Reaktionen seitdem seitens der namentlich genannten Festplatten-Hersteller eingeleitet und welche Schritte im Nachgang der Berichterstattung unternommen wurden. Ob Detektionswerkzeuge angeboten werden, um den Kunden zu erlauben, ihre Festplatten zu checken, bleibt unklar. Zu beidem erklärt das BSI:
Hierzu ist dem BSI nichts bekannt.
Gegen Festplatten-Produkte mit signierter Firmware hat das BSI indessen nichts:
Das BSI befürwortet den Einsatz signierter Firmware, da auf diese Weise die nachträgliche Manipulation extrem erschwert wird. Zudem wird der Einkauf von IT-Komponenten deutscher Hersteller favorisiert.
Das Bevorzugen deutscher Hersteller dürfte dank der Promiskuität des BND leider keinen Mehrwert liefern.
Quelle: https://netzpolitik.org/2015/keine-antworten-der-festplatten-hersteller-auf-nsa-infiltration/
Wir haben bei den Festplatten-Herstellern nachgefragt, ob und wie sie auf die Veröffentlichungen reagieren, was sie zu tun gedenken und ob sie beispielsweise über signierte Firmware nachdenken. Folgende Fragen wurden am 11. März allen betroffenen Herstellern (teilweise in englischer Übersetzung) geschickt:
Welche Reaktion sind seitdem seitens Ihres Unternehmens eingeleitet und welche Schritte im Nachgang der Berichterstattung unternommen worden? Bietet Ihr Unternehmen Detektionswerkzeuge an, um Betroffenen zu erlauben, ihre Festplatten zu checken? Werden Sie in Zukunft Produkte mit signierter Firmware anbieten? Planen Sie die Einführung eines mit der Hardware verbundenen Verifikationsverfahrens, das verhindert, dass Firmware, die nicht von Ihnen kommt, auf Ihren Festplatten landet? Wenn ja, wird es dafür Audits geben? Haben Sie Ihre Sicherheitsmechanismen bei der Entwicklung verändert, um ein Pre-exploiting ab Werk zu verhindern?
Außerdem haben wir uns mit weiteren Fragen auch an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gewandet. Die zusätzlichen Fragen lauteten: Hat sich das BSI einen Überblick verschafft, ob und welche informationstechnischen Systeme in Behörden betroffen waren oder sind?
Was empfiehlt das BSI Betroffenen?
Letztlich geht es um Antworten auf die Fragen, was angesichts der Veröffentlichung eigentlich die Optionen der normalen Nutzer sind. Und wie lässt sich die Benutzung einer infiltrierten Festplatte verhindern?
Quelle: Gatis Gribusts CC BY-NC 2.0
Angefragt worden waren neben dem BSI die Unternehmen Micron, Western Digital, Seagate, Toshiba und Hitachi, die allesamt in dem Kaspersky-Bericht namentlich erwähnt worden waren. Wir haben in einigen Fällen nach einem Monat (am 13. April) ein zweites Mal gefragt, ob wir noch Antworten auf unsere Fragen erhalten werden.
Antworten der Festplatten-Hersteller
Micron, Hitachi und Western Digital haben auch auf mehrmalige Nachfrage keinerlei Antworten gesendet, auch keine kopierten Standardsätze. Nicht mal den Mailerhalt mochten die Unternehmen bestätigen.
Seagate antwortet unmittelbar mit einem kurzen, eher generischen Statement:
Seagate has no specific knowledge of any allegations regarding third-parties accessing our drives. Seagate is absolutely committed to ensuring the highest levels of security of the data belonging to our users. For over seven years Seagate has been shipping drives offering industry-leading levels of self encryption, while putting in place secure measures to prevent tampering or reverse engineering of its firmware and other technologies.
Sie wissen von nichts und sind auf keinen Aspekt der Fragen eingegangen.
Toshiba gab sich da etwas mehr Mühe und versprach immerhin, die Fragen weiterzuleiten. Deren Hauptquartier in Japan mochte jedoch kein offizielles Statement abgeben und meldete sich am 26. März mit dem Hinweis zurück, nicht detailliert auf unsere Fragen eingehen zu wollen. Man übermittelte nur folgende Antwort:
Toshiba has no knowledge of such spyware, and does not know if the report is accurate. Toshiba has not provided our HDD or SSD source code to government agencies in support of any cyber-espionage efforts. Toshiba is continuing to investigate this matter. We continue to operate under the principles of integrity and compliance and are committed to supply safe, reliable and high quality products.
Man weiß also auch von nichts, wird aber in dieser Sache nachforschen. Das Ergebnis dieser Nachforschungen haben wir einige Wochen später erfahren wollen, woraufhin wir am 8. Mai folgendermaßen beschieden wurden: Toshiba has no additional comment on this. Sämtliche Hersteller sehen also offenbar keine Veranlassung, auch nur teilweise auf die Fragen einzugehen.
Antworten des BSI
Das BSI ließ sich Zeit für die Antworten, schickte auf weitere Nachfrage am 16. April dann aber folgende Antwort, die im Unterschied zu allen Festplatten-Herstellern Hand und Fuß hat und tatsächlich auf die inhaltlichen Fragen einging. Auf die Frage, ob das BSI einen Überblick hätte, ob und welche informationstechnischen Systeme in Behörden betroffen waren oder sind und was es (potentiell) Betroffenen empfiehlt, erklärt das Bundesamt:
Eine Untersuchung auf den sogenannten Root-Cause (also die infizierte Firmware) ist in großen Netzwerken von Unternehmen und Behörden nicht praktikabel. Stattdessen wertet das BSI Anomalien im Verkehr der Regierungsnetze aus, um etwaige Datenabflüsse oder Steuerungskommandos an oder von infizierten Systemen zu identifizieren. Bisher gab es keinerlei Hinweise auf betroffene Systeme in den Regierungsnetzen. In einem konkreten und begründeten Verdachtsfall können sich Behörden an das BSI wenden, um gegebenenfalls in Zusammenarbeit eine individuelle Untersuchung einzuleiten.
Ob das BSI nun Änderungen bei der Prüfung von Computer-Komponenten in Reaktion der von Kaspersky beschriebenen Angriffe vornimmt oder ob es Warnungen ausspricht, und wenn ja, welcher Art, wollten wir ebenfalls wissen. Man antwortet leicht ausweichend und verweist auf die BSI-typische Arbeitsweise:
Im BSI werden Computer-Komponenten im Rahmen eines Zertifizierungs- oder Zulassungsverfahrens bei entsprechender Beantragung untersucht. Darüber hinaus können Untersuchungen in konkreten, individuellen Verdachtsfällen im Bereich Sabotage/Spionage initiiert werden. Es findet allerdings keine flächendeckende proaktive Überprüfung von Standard-Computer-Komponenten statt. Der von Kaspersky beschriebene Angriff muss nicht auf Festplatten beschränkt sein. Die Abwehr derart komplexer Angriffsmuster erfordert grundlegende Änderungen in den Sicherheitskonzepten in vielen Bereichen. Ob dies praktikabel ist, muss sich noch zeigen. Die von Kaspersky Labs veröffentlichten Signaturen wurden in die Sicherheitskomponenten der Regierungsnetze eingepflegt.
Wie das BSI die Gefahr des Pre-exploiting ab Werk sieht und welche Sicherheitsmechanismen bei der Entwicklung es empfiehlt, um ein Pre-exploiting ab Werk zu verhindern, haben wir auch gefragt. Das BSI stellt hier das erhebliche Entdeckungsrisiko in den Vordergrund:
Das Pre-exploiting ab Werk ist das Szenario, das am wenigsten wahrscheinlich ist, da es letztlich mit einem ungewollt hohen Entdeckungsrisiko verbunden ist. Sollte es dem Angreifer gelingen, dem Hersteller eine mit gültiger Signatur versehene, modifizierte Firmware unterzuschieben, ist eine Detektion extrem schwer: Alle Firmwarevarianten aus vermeintlich sauberen Quellen wären ebenfalls verseucht, so dass die Manipulation durch Vergleich aus verschiedenen Quellen nicht mehr entdeckt werden könnte. In einem solchen Fall bliebe nur noch die Analyse der Firmware, die ohne nähere Anhaltspunkte eine extrem große Herausforderung darstellt. Nach aktuellem Erkenntnisstand wahrscheinlicher ist ein nachträgliches Einbringen der Schadfunktionen. Dieses Risiko kann durch sichere Lieferketten deutlich reduziert werden.
Wie dieses Risiko durch sichere Lieferketten deutlich reduziert werden kann, bleibt aber das Geheimnis des BSI.
Ein Geheimnis für das BSI selbst ist es, ob und welche Reaktionen seitdem seitens der namentlich genannten Festplatten-Hersteller eingeleitet und welche Schritte im Nachgang der Berichterstattung unternommen wurden. Ob Detektionswerkzeuge angeboten werden, um den Kunden zu erlauben, ihre Festplatten zu checken, bleibt unklar. Zu beidem erklärt das BSI:
Hierzu ist dem BSI nichts bekannt.
Gegen Festplatten-Produkte mit signierter Firmware hat das BSI indessen nichts:
Das BSI befürwortet den Einsatz signierter Firmware, da auf diese Weise die nachträgliche Manipulation extrem erschwert wird. Zudem wird der Einkauf von IT-Komponenten deutscher Hersteller favorisiert.
Das Bevorzugen deutscher Hersteller dürfte dank der Promiskuität des BND leider keinen Mehrwert liefern.
Quelle: https://netzpolitik.org/2015/keine-antworten-der-festplatten-hersteller-auf-nsa-infiltration/
No comments:
Post a Comment
Bei Kommentaren bitten wir auf Formulierungen mit Absolutheitsanspruch zu verzichten sowie auf abwertende und verletzende Äußerungen zu Inhalten, Autoren und zu anderen Kommentatoren.
Daher bitte nur von Liebe erschaffene Kommentare. Danke von Herzen, mit Respekt für jede EIGENE Meinung.