Angriffe auf die Lieferkette und die Rolle von Hardware für die Sicherheit

F5

In den vergangenen Jahren haben wir erlebt, wie Unternehmen sich beeilten, die immer größere Reichweite von Cloud- und Softwarebereitstellungen abzusichern. Und das zu Recht, denn aktuelle Forschungsergebnisse von F5 Labs zeigen, dass Anwendungen bei mehr als der Hälfte der gemeldeten Sicherheitsverletzungen das erste Angriffsziel sind. Doch während Unternehmen diesen Geschäftsbereich eilig absichern, müssen sie wachsam bleiben und auch die Entwicklungen auf der Infrastruktur- und Hardwareseite aufmerksam verfolgen.

Der kürzlich erschienene Bloomberg-Artikel ist nicht der erste Bericht über das, was inzwischen als Lieferkettenangriff bekannt ist. Seit mindestens fünf Jahren kursieren im Internet immer wieder Berichte darüber, dass Dritte Netzwerkgeräte innerhalb der Lieferkette abfangen, um sie zu manipulieren, für Spionagezwecke zu nutzen oder auf andere Weise Daten zu kompromittieren.

Tatsächlich beschränkt sich die Gefahr von Manipulationen nicht auf die Hardware-Lieferkette. Sie bietet zwar eine recht einfache Möglichkeit, sich in den Prozess einzuschleusen, ist aber nicht der einzige Angriffspunkt. Um es klar zu sagen: Es gibt heute keinen Teil eines Systems – von der Hardware über die Firmware bis hin zum Betriebssystem und zur Software –, der nicht irgendeiner Bedrohung ausgesetzt ist. Jeden Tag erscheinen Artikel über die Kompromittierung von Betriebssystemen und Software durch Schadprogramme und ausgenutzte Sicherheitslücken. Persistente Bedrohungen wurden bereits über BIOS-(Firmware-)Rootkits eingeschleust. Und der zunehmende Einsatz von Subsystemen, die im vergangenen Jahrzehnt von Drittanbietern gefertigt wurden, untermauert die Annahme, dass ein Lieferkettenangriff die Hardware auf Platinenebene beeinträchtigen kann.

Ja, es ist möglich. Ja, ein Angriff auf die Lieferkette wäre schwer zu erkennen. Und ja, solange Hardware bei der Bereitstellung von Anwendungen in Rechenzentren und Cloud-Umgebungen eine Rolle spielt (sprich: auf absehbare Zeit), müssen sich Unternehmen damit auseinandersetzen – unabhängig davon, ob bestimmte Anbieter auf ihre eigene Hardware oder die eines anderen Anbieters setzen.

Sichere Systeme müssen die Hardware berücksichtigen

Hardware- und Firmware-basierte Angriffe stellen im Vergleich zu anderen Angriffsarten ein besonderes Risiko dar, was zum Teil erklärt, warum dieses Thema Unternehmen so große Sorgen bereitet.

Hardware- und Firmware-basierte Angriffe sind für böswillige Akteure aus folgenden Gründen attraktiv:

1. Geringe Erkennbarkeit. Firmware läuft im Hintergrund und ist für Software häufig nicht sichtbar. Moderne Systeme erschweren sogar den Zugriff auf die BIOS-Firmware, da unsachgemäße Änderungen ein System unbrauchbar machen können.
2. Hohe Persistenz. Sobald sich die Schadsoftware eingenistet hat, lässt sie sich nur schwer von einer infizierten Plattform entfernen. Betriebssysteme können zwar relativ einfach neu installiert werden, doch die Firmware in ihren ursprünglichen Zustand zurückzuversetzen, ist wesentlich schwieriger.
3. Hohe Berechtigungsstufe. Jeder Code, der in Hardware oder Firmware ausgeführt wird, hat direkten Zugriff auf Hardwareebene. Schadsoftware mit dieser Berechtigungsstufe kann das gesamte System ausspionieren und sogar kontrollieren.

Alles in allem haben Unternehmen, die die Kontrolle über ihre eigene Hardware behalten, konkrete Vorteile. F5 überwacht beispielsweise jeden einzelnen Schritt – vom Entwurf über den Prototyp und die Fertigung bis hin zur abschließenden Produktion –, um die Integrität unserer Systeme sicherzustellen. Ohne dieses Maß an Kontrolle können Anbieter nur vergleichsweise begrenzt gewährleisten, dass die Hardware, auf der ihre Systeme basieren, geschützt ist.

Die Herausforderung, das abzusichern, worüber Sie keine Kontrolle haben

An dieser Stelle möchte ich erwähnen, dass F5 keine Fertigungsbeziehung zu Super Micro oder einem anderen OEM für Server-Motherboards unterhält. (Weitere Einzelheiten zu den jüngsten Branchennachrichten finden Sie im Artikel in der AskF5-Wissensdatenbank.) Dies ist jedoch eine gute Gelegenheit, noch einmal zu betonen, wie wichtig Unternehmen sind, die mithilfe strenger Prozesse ihre Hardware, Firmware und Software in jeder Phase der Entwicklung, Fertigung und Montage vor Manipulationen schützen können. Wenn man letztlich ohnehin auf Hardware angewiesen ist, ist es dann nicht sinnvoller, sich auf einen Anbieter mit Hardwarekompetenz zu verlassen?

Zweifellos werden Sie Anbieter finden, die nur allzu bereitwillig die Hardwarekomponenten der Sicherheit zum „Problem eines anderen“ erklären. Dieser Ansatz greift jedoch häufig zu kurz. Wenn Sie Gewissheit hinsichtlich der Hardware benötigen, auf der Ihre Infrastruktur basiert, brauchen Sie einen Anbieter, der die Verantwortung für den Schutz Ihrer Ressourcen nicht wie eine heiße Kartoffel weiterreicht. Im weiteren Verlauf dieses Artikels erläutern wir daher, was F5 unternimmt, um dieses Risiko für seine Kunden zu minimieren. Anschließend nennen wir einige Fragen, die Sie Anbietern stellen können, um sicherzustellen, dass sie Ihr Risiko verantwortungsvoll begrenzen. Hier aber zunächst die Kurzfassung: Wenn Sie nicht wissen, wie oder wo die Hardware Ihrer Infrastruktur entwickelt, gefertigt, getestet und montiert wird, besteht möglicherweise Grund zur Sorge. Bei F5 hingegen unterliegt der gesamte Prozess jederzeit unserer Kontrolle.

Was F5 zu bieten hat: der komplizierte Teil

F5 hat seinen Hauptsitz in Seattle, während das Design und die Entwicklung unserer Hardware an einem Unternehmensstandort östlich von Seattle in Spokane stattfinden. Dieses Team ist für sämtliche Aspekte der Hardwareentwicklung bei F5 verantwortlich. Dieser Ansatz entstand aus dem Wunsch heraus, speziell auf den Betrieb unserer ADC-Plattform BIG-IP zugeschnittene Hardware zu entwickeln, und ermöglicht es uns, der Sicherheit unserer Hardware geradezu fanatische Aufmerksamkeit zu widmen – im positiven Sinne!

An dieser Stelle bietet sich ein (sehr) kurzer Überblick darüber an, wie Hardware konzipiert und entwickelt wird. Der Vorentwurf wird mit CAD-Software erstellt, aus der anschließend eine Vektorgrafik der Leiterplatte generiert wird. Diese wird als Gerber-Datei bezeichnet, benannt nach dem De-facto-Industriestandardformat für solche Grafiken. Auf Grundlage dieser Datei wird eine unbestückte Leiterplatte (Printed Circuit Board, PCB) gefertigt. Die PCB ist lediglich die Basisplatine mit Leiterbahnen und Anschlussbelegungen. Im nächsten Schritt wird eine bestückte Leiterplatte (Printed Circuit Assembly, PCA) gefertigt, bei der die eigentlichen Komponenten (CPUs, Speicher, ICs, Transistoren usw.) auf der PCB angebracht werden.

Zu den Prozessen von F5 gehören auch Prüfungen nach der Fertigung, die zum Schutz vor Angriffen auf die Lieferkette durch Drittanbieter beitragen. Wir setzen eine Kombination aus AOI (automatischer optischer Inspektion) und 5DX- oder AXI-Prüfungen (Röntgeninspektionen) ein. Diese Verfahren dienen dazu, eine Vielzahl von Problemen zu erkennen, die sich auf die Qualität und Integrität des Systems auswirken, darunter auch Komponenten, die nicht zum Produktdesign gehören.

Sowohl die AOI- als auch die Röntgenprüfung sind automatisierte Verfahren, die auf Gerber-Dateien basieren. Diese beschreiben bis ins kleinste Detail, wie die Leiterplatte nach der Fertigung aussehen soll. Die Fertigungsingenieure von F5 überwachen die Einrichtung und Implementierung dieser Testsubsysteme ab der ersten Leiterplattenbaugruppe (Printed Circuit Assembly, PCA), die anschließend kontinuierlich optimiert werden. So können wir das Endprodukt vergleichen und überprüfen, um sicherzustellen, dass es unseren Erwartungen entspricht.

Über diese Schutzmaßnahmen hinaus integrieren wir zwei zentrale Funktionen in unsere Hardware, um sie besser vor unbefugten Manipulationen an Firmware und Software zu schützen: Manipulationserkennung und Manipulationsschutz. Die erste Funktion wird durch den Einbau eines TPM (Trusted Platform Module) ermöglicht. Das TPM gemäß ISO/IEC 11889 ist ein dedizierter Mikrocontroller, mit dem sich die Systemintegrität mithilfe kryptografischer Verfahren überprüfen lässt. Die zweite Funktion besteht darin, nachfolgende Firmware-Updates kryptografisch zu signieren und vor der Installation zu validieren, wie dies auch bei Software-Updates von F5 möglich ist.

Ich möchte außerdem hervorheben, dass die IT-Organisation von F5 für die gesamte Hardware und Netzwerkinfrastruktur unserer Testsubsysteme verantwortlich ist und den Zugriff darauf kontrolliert.

Fragen an Ihren Anbieter

Wenn es um kritische Komponenten Ihres Netzwerks und Ihrer Sicherheit geht, sollten Vertrauen und offene Kommunikation stets eine wichtige Rolle spielen. Auch wenn die im Super-Micro-Bericht dargestellten Fakten nach wie vor kontrovers diskutiert werden, ist die darin beschriebene Art der Bedrohung durchaus real und glaubwürdig. Im Hinblick auf mögliche Angriffe auf Hardware und Firmware – sei es über die Lieferkette oder auf anderem Wege – sollten Sie Ihrem Anbieter unter anderem folgende Fragen stellen:

1. Verwenden Sie bei der Entwicklung Ihrer Systeme Motherboards von Drittanbietern?
2. Welche Teile des Hardwaredesign- und -entwicklungsprozesses kontrollieren Sie gegebenenfalls?
3. In welchem Umfang führen Sie Sicherheitstests an der Hardware durch und wann?
4. Welche Schutzmaßnahmen setzen Sie ein, um Firmware- und Softwareupdates abzusichern?
5. Welche Schutzmaßnahmen haben Sie schließlich implementiert, um Manipulationen jeglicher Art entlang der gesamten Lieferkette zu verhindern und zu erkennen?

____

Weitere Informationen dazu, wie F5 die Anwendungssicherheit Ihres Unternehmens verbessern kann, finden Sie unter: https://www.f5.com/solutions/application-security

Über den Autor

F5

Weitere Blogbeiträge von F5