Phlashing: Permanente Denial-of-Service Attacke (PDOS) durch Zerstörung der Hardware

[gullinews]

Diese Woche wird auf der EUSecWest-Sicherheitskonferenz in London eine neue Sicherheitslücke aufgezeigt. Rich Smith, Forscher an dem HP Systems Security Lab, zeigt eine neue Form der Attacke, die Firmware von Geräten in eingebetteten Netzwerken attackiert. Ausgenutzt wird dabei die Firmware-Updatefunktion der Hardware. Durch diese Sicherheitslücke man das gesamte System längerfristig lahmlegen. Repariert werden kann es dann nur durch kostenintensiven Austausch der Hardware.

Smith bezeichnet diese Form der Attacke als "Phlashing" oder anschaulicher als "Permanent Denial of Service Attack (PDOS)". Im Gegensatz zu einer DDOS, also einer "Distributed Denial of Service Attack", benötigt man für die PDOS kein Zombienetzwerk, dass die Attacke durchführt. Sie sei daher einfacher durchzuführen und richtet sich im Allgemeinen nicht auf die Hauptkomponenten im System, sondern auf kleine, eingebettete Hardware. Auf diesen Komponenten befindet sich dann oft nicht die aktuellste Firmware und bietet ein erhöhtes Sicherheitsrisiko. Gerade die Funktion des Firmwareupdates beinhaltet dabei das Risiko des Angriffs. Durch das Aufspielen von Hacks kann die gesamte Hardware unbrauchbar gemacht werden. PDOS ist also reine Hardwaresabotage. Das große Problem an diesen Attacken ist, dass sie auf der Systemebene der Hardware zum Tragen kommen und die Sicherheit von kleinen, eingebetteten Systemen im Netzwerk oft schlichtweg vergessen wird.


weiterlesen

[Juzam]

Muss man zwangsläufig die Hardware ersetzen? Wie wäre es damit, eine andere Firmware aufzuspielen, die keine Updatefunktion unterstützt.

[TheDeath85]

Aber was ist, wenn der Angreifer eine Firmware aufspielt, die sich nicht updaten lässt. Dann muss die Hardware raus um die Chips neu zu flashen.

[Mr_Chainsaw]

Habt ihr schonmal mit embedded Systemen gearbeitet?

Wenn man wirklich sicher sein will, dann lässt man eben nur physischen Zugriff per seriellem Kabel oder JTAG zu und gut is.

Das würde zwar die Wartung dieser Systeme unglaublich erschweren aber wenn man ein höchstmaß an Sicherheit braucht sollte dies das mindeste sein.

[Schattenspieler]

Muss meinem Vorredner zustimmen: Wer wirklich Sicherheit will, wird sich überlegen, auf welche Weise er Firmwareupdates einspielt.
Aber abseits rein physischen Zugriffs kann man auch ein zweites interenes Netz installieren, welches nur Wartungszwecken dient und physikalisch von der Außenwelt getrennt ist. Damit hat man beide Vorteile vereint. So schwer kann das kaum sein und der Mehraufwand ist den Gewinn an Sicherheit und die Beibehaltung der einfachen (Software-)Wartung allemal wert.

Darüber hinaus halte ich die Idee weder für besonders ausgefallen, noch für besonders gewitzt. Jede solche (Update-)Automatik birgt zangsäufig die Gefahr eines Misbrauchs, den man aufgrund der Natur einer Automatik schwer unterbinden kann. Jeder Angreifer wird sich mit seinem Ziel hinreichend beschäftigen, so er die Zeit hat und der Aufwand sich lohnt. Und natürlich versucht man es zuerst entweder dort, wo das schwächste Glied der Kette ist oder wo der zeitliche Aufwand am geringsten ist. Wenn ich dafür die automatische Updatefunktion misbrauchen kann, nimmt mir das Ziel viel Arbeit ab.

Davon einmal abgesehen, ist der Zustand der News, was den Ausdruck angeht, stellenweise erschreckend.
Bereits im ersten Abschnitt fehlt ein die, wie auch ein kann und er enthällt den ersten Fehler: die Hardware muss nicht ausgetauscht werden, sie kann - genauso gut kann man aber auch auf das entspr. Gerät neue Firmware flashen.
Im zweiten Absatz ist das erste dass schon falsch, da es sich auf das Zombienetzerk bezieht. (klick)

Durch das Aufspielen von Hacks kann die gesamte Hardware unbrauchbar gemacht werden.

Selbst das Aufspielen einer Nullfolge würde die Hardware unbrauchbar machen, dazu braucht man nichteinmal Hacks.

[…]mit dem sowohl man diese Attacke durchführen kann, also auch potenziell gefährdete Schwachstellen[…]

Ein o zuviel und schon is der Satz futsch.

[…], dass bedenklicher als eine reine PDOS-Attacke einzustufen ist, wenn auch unbemerkt Malware oder Trojaner einen Weg in diese eingebetteten Systeme finden.

Wie liest sich das denn? …

Außerdem scheint dem Autor entgangen zu sein, daß das Flashen von Firmware und das Einspielen von Firmware (auf Flashbausteinen, woher sich ja das Verb erst ableitet) ein und das selbe sind! => Flashen

Der durchschnittliche User hat an dieser Stelle zwei Optionen:
[a] Sich – evtl. zurecht – angepisst/ungerecht niedergemacht zu fühlen und bei Bedarf entspr. Dampf abzulassen. Oder:
[b] Sich die – evtl. etwas harsche – Kritik zu Herzen zu nehmen und es beim nächsten Mal besser zu machen.

[Who_knows]

Aber abseits rein physischen Zugriffs kann man auch ein zweites interenes Netz installieren, welches nur Wartungszwecken dient und physikalisch von der Außenwelt getrennt ist. .... So schwer kann das kaum sein und der Mehraufwand ist den Gewinn an Sicherheit und die Beibehaltung der einfachen (Software-)Wartung allemal wert.

Das mag ja für grössere Firmen zutreffen. Aber es gibt auch viele kleinere Firmen die weder die personellen noch die finanziellen Mittel für solch eine Aufrüstung haben und da auch in solchen firmen sensible daten im intranet verschickt werden wäre zb die firmware eines routers der dann eben solche daten unbeobachtet abfängt und an dritte weitersendet ein guter angriffspunkt. Schlieslich wird diese firmware weder von einer normalen firewall noch von antiviren software überwacht.

[Schattenspieler]

Tja, ist halt ne Frage, wieviel einem diese sensiblen Daten wert sind. Und soo groß ist der Aufwand im Vergleich zum Nutzen auch wieder nicht.