Supply-Chain-Hacks und die Rolle der Hardware für die Sicherheit

In den vergangenen Jahren haben wir erlebt, wie Unternehmen sich beeilten, die wachsende Reichweite von Cloud- und Softwarebereitstellungen zu sichern. Und das zu Recht, denn aktuelle Untersuchungen von F5 Labs zeigen, dass bei über der Hälfte der gemeldeten Sicherheitsverletzungen Anwendungen das erste Ziel sind. Doch während die Unternehmen diesen Geschäftsbereich schnell ausbauen, müssen sie wachsam bleiben und auch die Entwicklungen auf der Infrastruktur- und Hardwareseite aufmerksam im Auge behalten.

Der jüngste Bloomberg-Artikel ist nicht die erste Behauptung im Zusammenhang mit einem sogenannten Supply-Chain-Hack. Seit mindestens fünf Jahren kursieren im Internet zahlreiche Berichte darüber, dass Dritte Netzwerkgeräte in der Lieferkette abfangen, um Daten zu manipulieren, auszuspionieren oder auf andere Weise zu kompromittieren.

Tatsächlich ist die Gefahr einer Manipulation nicht auf die Hardware-Lieferkette beschränkt. Dies ist ein recht unkomplizierter Weg, in den Prozess einzusteigen, aber nicht der einzige Einstiegspunkt. Um es klar zu sagen: Heutzutage gibt es keinen Teil eines Systems – von der Hardware über die Firmware bis hin zum Betriebssystem und der Software – der nicht irgendeiner Art von Bedrohung ausgesetzt ist. In Artikeln über Malware und ausgenutzte Schwachstellen wird täglich auf Kompromittierungen von Betriebssystemen und Software hingewiesen. Über BIOS-Rootkits (Firmware) wurden hartnäckige Bedrohungen übertragen. Und die zunehmende Verwendung von Subsystemen aus Drittfertigung im letzten Jahrzehnt lässt die Möglichkeit eines Supply-Chain-Hacks mit Auswirkungen auf die Hardware auf Platinenebene vermuten. 

Ja, das ist möglich. Ja, ein Angriff auf die Lieferkette wäre schwer zu erkennen. Und ja, solange Hardware bei der Bereitstellung von Anwendungen in Rechenzentren und Cloud-Umgebungen eine Rolle spielt (sprich: in absehbarer Zukunft), ist dies etwas, worüber Unternehmen nachdenken müssen – unabhängig davon, ob bestimmte Anbieter auf ihre eigene Hardware oder die von anderen angewiesen sind.

Sichere Systeme müssen die Hardware berücksichtigen

Im Vergleich zu anderen Angriffsarten stellen hardware- und firmwarebasierte Angriffe ein einzigartiges Risiko dar, was teilweise die große Besorgnis erklärt, die Organisationen in Bezug auf dieses Thema empfinden.

Angriffe auf Hardware- und Firmware-Basis sind aus folgenden Gründen für Kriminelle attraktiv:

1. Geringe Erkennbarkeit . Die Firmware läuft im Hintergrund und ist für die Software oft nicht sichtbar. Moderne Systeme raten sogar vom Zugriff auf die BIOS-Firmware ab, da unangemessene Änderungen ein System unbrauchbar machen können.
2. Hohe Persistenz . Ist die Malware erst einmal installiert, ist es schwierig, eine infizierte Plattform wieder von ihr zu befreien. Während sich Betriebssysteme relativ problemlos neu installieren lassen, gestaltet sich die Wiederherstellung des Originalzustands der Firmware wesentlich schwieriger.
3. Hohes Privileg . Jeder in Hardware oder Firmware ausgeführte Code hat direkten Zugriff auf Hardwareebene. Malware mit diesen Berechtigungen kann das gesamte System ausspionieren und sogar steuern.

Alles in allem ergeben sich für Unternehmen, die die Kontrolle über ihre eigene Hardware behalten, handfeste Vorteile. Beispielsweise überwacht F5 jeden Schritt – vom Entwurf über den Prototyp bis hin zur Fertigung und schließlich der Produktion – um die Integrität unserer Systeme sicherzustellen. Ohne diese Kontrollebene können die Anbieter nur eine vergleichsweise begrenzte Sicherheit dafür bieten, dass die Hardware, auf der ihre Systeme basieren, geschützt ist.

Die Herausforderung, Dinge zu sichern, die Sie nicht kontrollieren

An dieser Stelle möchte ich erwähnen, dass F5 keine Fertigungsbeziehung mit Super Micro oder einem anderen OEM für Server-Motherboards unterhält. (Weitere Einzelheiten finden Sie im AskF5-Wissensdatenbankartikel zu den neuesten Branchennachrichten.) Allerdings bietet sich derzeit auch eine gute Gelegenheit, die Bedeutung von Unternehmen hervorzuheben, die über strenge Prozesse verfügen, um ihre Hardware, Firmware und Software während der Entwicklung, Fertigung und Montage jederzeit vor Manipulationen zu schützen. Wenn Sie sich irgendwann auf die Hardware verlassen müssen, ist es dann nicht sinnvoller, sich auf einen Anbieter mit Hardware-Know-how zu verlassen?

Zwar werden Sie zweifellos Anbieter finden, die die Hardwareelemente der Sicherheit nur allzu gerne zum „Problem anderer“ machen, doch dieser Ansatz ist oft unvollständig. Wenn Sie Vertrauen in die Hardware brauchen, die Ihre Infrastruktur unterstützt, brauchen Sie einen Anbieter, der Ihnen die Verantwortung für den Schutz Ihrer Anlagen nicht aufbürdet. Im weiteren Verlauf dieses Artikels erläutern wir, was F5 unternimmt, um dieses Risiko für seine Kunden zu verringern. Anschließend identifizieren wir einige Fragen, die Sie den Anbietern stellen können, um sicherzustellen, dass diese Ihr Risiko verantwortungsvoll begrenzen. Aber hier ist die Kurzfassung: Wenn Sie nicht wissen, wie oder wo Ihre Infrastruktur-Hardware entworfen, hergestellt, getestet und zusammengebaut wird, besteht möglicherweise Grund zur Sorge. Bei F5 hingegen behalten wir den gesamten Prozess stets im Blick.

Was F5 zu bieten hat: Der komplizierte Teil

Der Hauptsitz von F5 befindet sich in Seattle. Die Entwicklung und Konstruktion unserer Hardware erfolgt in einem Firmengebäude östlich von Seattle in Spokane. Dieses Team überwacht jeden Aspekt der F5-Hardwareentwicklung. Entstanden aus dem Wunsch, Hardware speziell für die Stromversorgung unserer ADC-Plattform BIG-IP zu entwickeln, ermöglicht es uns, der Sicherheit unserer Hardware größte Aufmerksamkeit (im guten Sinne!) zu widmen.

Es ist hilfreich, hier eine Pause einzulegen und einen (sehr) kurzen Überblick über den Entwurf und die Entwicklung von Hardware zu erhalten. Der vorläufige Entwurf erfolgt in einer CAD-Software, aus der ein Vektorbild der Platine generiert wird. Dies wird als Gerber-Datei bezeichnet und basiert auf dem De-facto-Industriestandardformat für diese Bilder. Aus dieser Datei wird eine Leiterplatte (PCB) hergestellt. Bei der Leiterplatte handelt es sich lediglich um die Grundplatine, d. h. um die Leiterbahnen und Pinbelegungen. Der nächste Schritt besteht darin, eine Leiterplattenbaugruppe (PCA) herzustellen, die der Leiterplatte die eigentlichen Komponenten (CPUs, Speicher, ICs, Transistoren usw.) hinzufügt.

Zu den Prozessen von F5 gehören auch Tests nach der Herstellung, um zum Schutz vor Hackerangriffen auf die Lieferkette durch Drittanbieter beizutragen. Wir verwenden eine Kombination aus AOI (Automatisierte optische Inspektion) und 5DX- oder AXI-Inspektion (Röntgen). Jedes dieser Programme ist darauf ausgelegt, verschiedene Probleme aufzudecken, die sich auf die Qualität und Integrität des Systems auswirken. Dazu gehört auch die Identifizierung aller Elemente, die nicht Teil des Produktdesigns sind.

Sowohl die AOI- als auch die Röntgenprüfung sind automatisierte Prozesse, die mit Gerber-Dateien beginnen, die bis ins kleinste Detail beschreiben, wie die Platine nach der Herstellung aussehen soll. Die Fertigungsingenieure von F5 überwachen die Einrichtung und Implementierung dieser Testsubsysteme von der ersten PCA (Printed Circuit Assembly) an und sie werden ständig verbessert. Dadurch können wir das Endprodukt vergleichen und überprüfen, um sicherzustellen, dass es unseren Erwartungen entspricht.

Um über diese Sicherheitsvorkehrungen hinaus einen besseren Schutz vor der Bedrohung durch unbefugte Firmware- und Softwaremanipulationen zu bieten, integrieren wir zwei Hauptfunktionen in unsere Hardware: Manipulationserkennung und Manipulationsverhinderung. Das erste wird durch die Integration eines TPM (Trusted Platform Module) ermöglicht. TPM – ISO/IEC 11889 – ist ein dedizierter Mikrocontroller, der die Überprüfung der Systemintegrität mittels Kryptografie ermöglicht. Die zweite Funktion besteht darin, nachfolgende Firmware-Updates kryptografisch zu signieren und vor der Installation zu validieren, genau wie dies bei F5-Software-Updates möglich ist.

Ich möchte auch darauf hinweisen, dass die IT-Organisation von F5 die gesamte Hardware und das Netzwerk unserer Testsubsysteme besitzt und den Zugriff darauf kontrolliert.

Fragen an Ihren Anbieter

Wenn es um kritische Komponenten Ihres Netzwerks und Ihrer Sicherheit geht, sollten Vertrauen und offene Kommunikation immer eine Rolle spielen. Zwar wird über die Fakten im Super-Micro-Bericht noch immer debattiert, doch die Art der Bedrohung, auf die er hinweist, ist sehr real und sehr glaubwürdig. Im Hinblick auf das Potenzial für Angriffe auf Hardware und Firmware aus beliebigen Quellen (Lieferkette oder andere) sollten Sie Ihrem Anbieter die folgenden Fragen stellen:

1. Verwenden Sie für das Design Ihrer Systeme von Drittanbietern entwickelte Motherboards?
2. Welchen Teil des Hardware-Design- und Entwicklungsprozesses kontrollieren Sie, wenn überhaupt?
3. Welche Sicherheitstests führen Sie an der Hardware durch und wann?
4. Welche Sicherheitsvorkehrungen treffen Sie, um Firmware- und Software-Updates zu sichern?
5. Und schließlich: Welche Schutzmaßnahmen haben Sie ergriffen, um Manipulationen aus beliebigen Quellen entlang der gesamten Lieferkette zu verhindern und zu erkennen?

____

Weitere Informationen dazu, wie F5 die Anwendungssicherheit Ihres Unternehmens verbessern kann, finden Sie unter: https://www.f5.com/solutions/application-security