Chip-basierte Sicherheit auf HPE-Servern

Von Klaus Manhart am 29. Juni 2017
Firmware-Angriffe werden für Unternehmen und Behörden immer mehr zur Bedrohung. HPE will Firmware-Attacken an der Wurzel bekämpfen und hat als erster Hersteller eine Chip-basierte Sicherheitslösung in seine Standard-Server eingebaut.

Immer mehr vernetzte Geräte verbunden mit zunehmend erfinderischen Angriffsmethoden von Cyber-Kriminellen haben die Firmware-Sicherheit ins Rampenlicht gestellt. Firmware ist als Software fest in Flash-Speicher oder im Read-Only-Memory (ROM) eingebettet und muss wie andere Software gewartet werden.

Hacker greifen Firmware oft deshalb an, weil sie wissen, dass diese häufig vernachlässigt wird. Viele IT-Verantwortliche sehen die Firmware-Wartung als operative Funktion und nicht als Sicherheitsrisiko. Die meisten Unternehmen verfügen auch nicht über das Know-how und die Mittel, um Firmware-Schwachstellen in ihrer Infrastruktur zu bekämpfen. Zudem ist eine Infizierung durch Schadcode auch sehr mühsam zu entdecken.

"Eine Sicherheitsverletzung in der Firmware ist mit am schwersten zu erkennen, kann aber zu den größten Schäden führen", sagt Patrick Moorhead, President und Principal Analyst der Analysten- und Beraterfirma Moor Kinzigits & Strategie. "Leider wird die Firmware von Führungskräften oft nicht beachtet, wenn es um die Sicherheit im Rechenzentrum geht - Cyber-Kriminelle nutzen sie als neue Angriffsfläche."

Firmware-Attacken boomen

Dass es sich bei Firmware-Attacken um eine reale Gefahr handelt, zeigen die Manipulationen an Routern oder USB-Sticks aus der jüngsten Vergangenheit - so zum Beispiel etwa die Attacke auf die Router eines deutschen TK-Dienstleisters im Herbst 2016. Die Information Systems Audit and Control Association (ISACA) hat solche Vorfälle systematisch in einer Studie untersucht.

Das Ergebnis: Über die Hälfte (52 Prozent) der Studienteilnehmer, die im Rahmen des Hardware-Lifecycle-Managements hohe Priorität auf die Sicherheit legen, berichten von mindestens einem Vorkommen von Malware-infizierter Firmware, wobei 17 Prozent dieser Vorfälle wesentlich ins Gewicht fielen.

Im Vergleich dazu verzeichneten diejenigen, die die Sicherheit im Hardware-Lebenszyklus nicht priorisierten, eine sehr hohe Rate von unbekannten Malware-Ereignissen (73 Prozent). Dies deutet darauf hin, dass viele Schwachstellen unentdeckt und ungepatched bleiben, wodurch hohe Sicherheitsrisiken entstehen. Dieser Mangel an Wissen hat auch Auswirkungen auf das Vertrauen: 71 Prozent der Befragten in dieser Kategorie fühlen sich nicht vorbereitet auf Cyber-Angriffe.

Wie lassen sich Firmware-Attacken verhindern? Ein System, das gewisse Sicherheitsstandards berücksichtigt, ist weniger anfällig für manipulierte Firmware: Die klassischen Maßnahmen sind etwa Beschränkungen der Zugriffsrechte für die User, Firewalls, regelmäßige Patches, Deaktivierung unnötiger Dienste und so weiter. Doch es bleibt ein Restrisiko.

Silicon Root of Trust

Hewlett Packard Enterprise (HPE) will mit Hardware-basierter Sicherheit Firmware-Attacken an der Wurzel bekämpfen. Als erstes Unternehmen hat HPE eine "Silicon Root of Trust" entwickelt - eine Verbindung zwischen den HPE-eigenen Chips und der HPE-Firmware namens "Integrated Lights Out" (iLO). iLO ist ein ursprünglich von Compaq entwickeltes System zur Administration und Fernwartung von Servern.

Die Silicon Root of Trust stellt sicher, dass die HPE-ProLiant-Server der neuen Generation keinen kompromittierten Firmware-Code ausführen. Die direkt in den HPE-Chip eingebaute Firmware-Sicherheit bietet den höchsten Schutz vor Firmware-Angriffen, außerdem kann die Server-Firmware automatisch wiederhergestellt werden.

HPEs Silicon Root of Trust verankert Sicherheit direkt im iLO-Chip mithilfe eines unveränderbaren Fingerabdrucks. Die Server können nur dann hochfahren, wenn die Firmware mit dem Fingerabdruck übereinstimmt. Dafür werden die neuesten Technologien für Verschlüsselung und dem Erkennen von Schadprogrammen genutzt und ergänzt durch die Sicherheit der HPE-Lieferkette und die Sicherheits-Assessments und -Dienstleistungen von HPE Pointnext.

Dieses Verfahren ist sicher, weil HPE die vollständige Kontrolle sowohl über seinen selbst entwickelten Chip als auch über die Firmware hat. Das macht die HPE-Lösung einzigartig: "Zwar haben viele Server eine Form der Hardware-Sicherheit eingebaut, doch HPE schafft eine Firmware-Sicherheit, die untrennbar mit ihren selbst hergestellten Chips verknüpft ist", sagt Patrick Moorhead. "Das hilft Kunden, sich gegen diese heimtückischen Attacken zu schützen."