Sicherheits-Forscher hinken beim BIOS hinterher

Der Stand der Sicherheits-Forschung im Bereich der untersten Systemebenen hinkt den praktischen Fähigkeiten von Angreifern inzwischen ein gutes Stück hinterher. Dabei wäre gerade hier mehr Einsatz gefordert. Über Jahre hinweg haben sich unzählige Sicherheits-Experten damit beschäftigt, Betriebssysteme und die Speicherbereiche von Anwendungen möglichst gut gegen Attacken abzuschotten. Mit dem BIOS und dem Nachfolger UEFI befassen sich allerdings vergleichsweise wenige - und dies vor allem im akademischen Bereich und kaum bei den Security-Firmen, die täglich in der Praxis mit den Bedrohungen konfrontiert sind.

Dies hat durchaus nachvollziehbare Gründe: "BIOS-Debugging erfordert teure Ausrüstung und ein hohes Know-How", sagte Corey T. Kallenberg, vom US-Forschungsinstitut MITRE, gegenüber dem Magazin ThreadPost. Dieser hatte sich auf der Security-Konferenz CanSecWest gemeinsam mit zwei Sicherheits-Forschern von Intel vier Stunden Zeit genommen, um den anwesenden Experten das Problem näherzubringen und sie dafür zu gewinnen, der Sache mehr Aufmerksamkeit entgegenzubringen.

Denn die Risiken, die hier auf die Sicherheits-Branche zukommen, sind nicht gerade gering. So bietet UEFI mit seiner höheren Komplexität und stärkeren Standardisierung vermutlich mehr Angriffspunkte als das BIOS. Damit zu experimentieren ist aber auch nicht gerade einfach, führte Kallenberg aus. Denn wenn beim Betriebssystem oder Anwendungen etwas schief geht, genügt oft ein Neustart oder die Entfernung von Komponenten, um beim Debugging fortfahren zu können. Geschieht dies hingegen bei der Firmware, kann im schlimmsten Fall der jeweilige Rechner nutzlos werden.

Angesichts von Bootkits wie Rustock und TDSS ist es laut dem Sicherheits-Forscher aber dringend geboten, dass die Security-Szene sich diesem Bereich verstärkt zuwendet. "Die Angreifer haben uns hier einiges voraus", sagte er. So konnte bereits gezeigt werden, dass selbst der TPM-Chip, der die Aktivitäten von BIOS und UEFI überwachen soll, den in ihn gesteckten Erwartungen nicht unbedingt gerecht wird. Auch hier konnten bereits so genannte Replay-Attacken durchgeführt werden, bei denen die Malware dem Sicherheits-Chip die richtigen Hashes präsentiert, um zu zeigen, das alles in Ordnung ist. Cpu, Ram, Mainboard thskyt / Flickr