SEC-T-Konferenz: Cold-Boot-Attacken funktionieren immer noch

Bei der SEC-T-Konferenz am 13. September 2018 zeigten zwei IT-Spezialisten von F-Secure, dass die 2008 entdeckten Szenarien der Cold-Boot-Attacken mit einer kleinen Abwandlung auch auf den neuesten Rechnern noch angewendet werden können.

Nach den Cold-Boot-Attacken im Jahr 2008 hatten die Hersteller der Computer einen Schutzmechanismus namens „memory overwrite request“ (kurz MOR) entwickelt. Er führt zu einer Leerung des Arbeitsspeichers bei jedem Bootvorgang. Doch die IT-Spezialisten von F-Secure haben eine Möglichkeit gefunden, diese Funktion zu umgehen. Sie soll nach ihren Angaben auf nahezu jedem aktuellen Notebook anwendbar sein. Deshalb wurden Apple, Intel und Microsoft bereits darüber informiert.

Cold-Boot-Attacken erfordern physischen Zugriff auf die Computer

Die Daten im Arbeitsspeicher werden nur sehr kurzzeitig gespeichert. Dabei ist die RAM von einer kontinuierlichen Stromversorgung abhängig. Sobald diese abbricht, gehen die Daten der RAM in weniger als einer Sekunde verloren. Dieser Zeitraum kann deutlich verlängert werden, wenn der Arbeitsspeicher gezielt heruntergekühlt wird. In der (sehr kurzen) Zeit der Verzögerung muss der Computer von einem externen Datenträger rebootet werden. Dabei werden die MOR-Funktionen deaktiviert. Auch kann die RAM entnommen und in einem anderen Computer ausgelesen werden. Auf diese Weise bekommen Hacker den Zugriff auf die Kryptoschlüssel, mit denen die Daten auf den S-ATA-Festplatten und SSD-Speichern verschlüsselt werden. Sie liegen derzeit in der Regel noch in der RAM, während sich die wesentlich sicherere Bereitstellung der Schlüssel im Cache der Prozessoren oder auf einem speziellen Sicherheitschip noch nicht durchgesetzt hat.

Welcher Schutz gegen Cold-Boot-Attacken ist möglich?

Hier ist die gute Nachricht, dass die Hacker einen physischen Zugriff auf den Rechner benötigen. Der einfachste Schutz ist also, Rechner mit sensiblen und verschlüsselten Daten nicht ohne Aufsicht eingeschaltet zu lassen. Allerdings reicht es nicht aus, sie in den Standby zu versetzen, denn dabei bleibt die Stromversorgung für den Arbeitsspeicher in vollem Umfang erhalten. Stattdessen sollten sie komplett heruntergefahren werden. Eine Alternative ist die Unterbindung des Startens von externen Datenträgern in den Boot Settings. Sie hat allerdings den Nachteil, dass bei Problemen mit dem Betriebssystem keine Reparatur über den Start von einer System-CD mehr möglich wäre. Außerdem verhindert diese Maßnahme das Auslesen der RAM in anderen Systemen nach einer Kühlung und Entnahme nicht.

Quelle: F-Secure

About Author