Es geht um Hintertüren der Zukunft. Der 32. Chaos Communication Congress beginnt mit einer Rednerin ohne IT-Kenntnisse und einem ungewöhnlichen Appell an die Politik.
Von Patrick Beuth, Hamburg
Wenn diese Welt im Kern eine gute wäre, würde man sich in ein paar Jahren an diese eine denkwürdige Hackerkonferenz in Hamburg erinnern. An den 32. Chaos Communication Congress (32C3), eröffnet von einer schwarzen, aus Somalia und Kenia geflüchteten Muslimin ohne IT-Kenntnisse namens Fatuma Afrah. Die rief das Publikum auf, „den Kopf von der Tastatur zu heben” und die Welt um sich herum wahrzunehmen. Auch wenn ihre Botschaft nicht besonders tiefgründig war – ihr Auftritt war zumindest reichlich ungewöhnlich. Die Organisatoren des 32C3 haben damit mustergültig gezeigt, wie gründlich man auf Erwartungshaltungen pfeifen und stattdessen einen Blick über den eigenen Tellerrand richten kann.
Wenn diese Welt aber so weitermacht wie zuletzt, wird man sich möglicherweise jedoch aus anderen, weniger erfreulicheren, Gründen an den 32C3 erinnern. Dann wird das jene Konferenz gewesen sein, auf der Forscher eindrücklich warnten, dass nach Software-Hintertüren bald das Zeitalter der Hardware-Trojaner beginnen könnte. Und dass es extrem schwierig sein wird, diese Trojaner zu entdecken und aufzuhalten. Wenn es dann zu spät ist, wenn diese Trojaner in der Welt sind, wäre es das bekannte Wir-haben’s-euch-doch-gesagt-Szenario. Die Erfahrung lehrt, dass der Chaos Computer Club darauf praktisch ein Abo hat.
Auftritt Marcus Janke und Peter Laackmann. Die beiden beschäftigen sich seit vielen Jahren mit der theoretischen und praktischen Existenz von Sicherheitslücken in Computerchips. Und sie glauben, dass Hardware-Hintertüren in dem Maße an Bedeutung gewinnen werden, in dem es einfacher wird, Hintertüren in Software zu entdecken.
Das mag heute ein wenig nach Paranoia der nächsten Stufe klingen. Doch beide arbeiten beim Halbleiterhersteller Infineon in München und forschen auch privat zu dem Thema. Sie wissen, wovon sie sprechen. Auf dem 32C3 erklären sie zunächst, in welchen Phasen der Chipfertigung ein oder mehrere Innentäter eine Hintertür im Produkt verstecken könnten. Ihr Fazit: Je später im Produktionsprozess ein Innentäter so etwas versucht, desto schwerer hat er es. Aber wenn es klappt, ist die Hintertür unter Umständen kaum noch zu entdecken.
Hinweise in den Snowden-Dokumenten
Im Vergleich zur Verbreitung von Software-Trojanern ist dieser Ansatz extrem aufwendig. Der Chiphersteller müsste staatlich kontrolliert oder zumindest gründlich unterwandert sein, damit die Manipulation auch bei internen Kontrollen nicht auffiele. Doch die Snowden-Dokumente haben gezeigt: Vor dem heimlichen Einschleusen von eigenen Leuten in ein Unternehmen scheut ein Geheimdienst wie die NSA nicht zurück.
„Angreifer werden sich überlegen, wo es Schwachstellen in der Fertigung gibt, sodass sie sich vielleicht nur einen Mitarbeiter herauspicken und dem genug Geld geben müssen, damit er eine Hintertür einbaut”, sagt Laackmann im Gespräch mit ZEIT ONLINE. Würden sie das schaffen, bekäme gleich eine ganze Fuhre oder gar Chipgeneration diese Hintertür verpasst. Ginge es nur um einen einzigen Computer, der an einen Verdächtigen geliefert werden soll, sei auch eine nachträgliche Hardware-Manipulation denkbar. Unter Laborbedingungen sei so etwas bereits gelungen, sagt Laackmann und verweist auf eine Forschungsarbeit an der Technischen Universität Berlin. Und dass die NSA notfalls auch Lieferungen unterbricht, um einen Computer zu verwanzen, belegen wiederum die Snowden-Dokumente.
Sicherheitsrisiko Dummheit
Mitunter würden Hardwarehersteller aber auch Hintertüren öffnen, ohne es zu bemerken, führen Janke und Laackmann in ihrem Vortrag aus. Analyse-Schnittstellen etwa, die sich missbrauchen lassen, gebe es zum Beispiel in Festplatten, Routern und sogar in manchen sogenannten Sicherheitschips, wo sie eigentlich nichts zu suchen hätten. Manchmal sei es schlicht Dummheit eines Herstellers, die dafür sorge, dass seine Produkte unsicher sind.
Janke sagt, er und sein Kollege wollten aufklären und zumindest ihr fachkundiges Publikum dazu bringen, sich die Chips genau anzusehen, die in ihren Computern stecken: „Steckt da snake oil drin, also gleichermaßen heilsversprechende wie fragwürdige Funktionen? Hat der Hersteller eine Selbstverpflichtung unterschrieben und setzt er sich damit einem ökonomischen Risiko aus, wenn er beim Einbau von Hintertüren erwischt wird?”
Forrás: http://www.zeit.de
