Mikrocontroller sind aus vernetzten Systemen nicht mehr wegzudenken. Obwohl sie sensible Daten speichern, wird die Sicherheit der zugrundeliegenden Hardware bei der Produktentwicklung kaum berücksichtigt. Durch einfache Gegenmaßnahmen lässt sich aber gegensteuern. Das zeigt die Studie zu Hardware-Angriffen auf Mikrocontroller des Fraunhofer-Instituts für Angewandte und Integrierte Sicherheit AISEC im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Mikrocontroller sind für das Internet der Dinge (IoT) unverzichtbar. Die kleinen Ein-Chip-Computersysteme werden in nahezu allen intelligenten Geräten eingesetzt – von Industrie- und Konsumprodukten bis hin zu sensiblen Anwendungen wie Zugangskontrollsystemen, e-Wallets und kritischen Infrastrukturen in Luftfahrt oder Medizin. Mikrocontroller speichern dabei sensible Daten wie kryptografische Schlüssel, Zugangsdaten und wertvolles geistiges Eigentum. Aus Preisgründen und mangelndem Gefahrenbewusstsein werden jedoch oft Standard-Mikrocontroller in sicherheitsrelevanten IoT-Produkten eingesetzt, was sie zu einem attraktiven Ziel für Angreifende macht. Diese nutzen dabei auch Schwachstellen in der Hardware aus.

Schutzmaßnahmen für einschlägige Angriffstechniken erprobt

Die vom Fraunhofer AISEC im Auftrag des BSI durchgeführte Studie »Hardware Attacks against Microcontrollers« zeigt, dass der Schutz der Hardware bei der Produktentwicklung zu wenig Berücksichtigung findet. Viele smarte Geräte, deren Herzstück Mikrocontroller sind, weisen Sicherheitslücken auf. Dabei können selbst in IoT-Geräten, die sich bereits im Umlauf befinden, leicht Schutzmaßnahmen per Software umgesetzt werden, die gegen die meisten einschlägigen Hardware-Attacken vorbeugen oder den Aufwand für einen Angreifenden deutlich erhöhen.

Um das Gefahrenbewusstsein in der Entwicklung und Herstellung zu schärfen, haben die Forschenden des Fraunhofer AISEC drei Arten von Hardware-Angriffen auf Mikrocontroller bewertet und geeignete Gegenmaßnahmen vorgeschlagen:

1) Control-Flow-Angriffe (»control flow manipulation«): Bei dieser Angriffstechnik wird die ordnungsgemäße Ausführung eines Programms durch Spannungs- und Clock-Glitching, elektromagnetische oder lasergestützte Fehlerinjektion manipuliert. Angriffe dieser Art können durch Compiler-basierte Gegenmaßnahmen auf Grundlage bestehender Fehlererkennungssysteme verhindert oder zumindest aufwändiger gemacht werden. Software-Werkzeuge dieser Art sind aktuell Gegenstand der Forschung im Bereich Hardware-Sicherheit. Erste Versionen der Tools kommen bereits in der Industrie zur Anwendung.

2) Seitenkanal-Angriffe (»side-channel attacks«): Erkenntnisse über Energieverbrauch und elektromagnetische Abstrahlung des Chips lassen Angreifende unerlaubt mehr über Schlüssel im Mikrocontroller wissen. Um zu verhindern, dass diese sensiblen Informationen ausgespäht werden, können sogenannte »leakage-resiliente« Kryptoverfahren oder das Maskieren geheimer Werte oder Vertauschen (»shuffling«) der Verarbeitungsfolge als Schutzmaßnahmen helfen. Dadurch werden Korrelationen zwischen Messwerten und sensiblen Informationen verschleiert.

3) Angriffe auf Ausleseschutztechniken (»read-out protection bypass attacks«): Über Schwachstellen in der Debug-Schnittstelle kann auf vertrauliche Daten des Mikrocontrollers zugegriffen werden. Dass der Ausleseschutzmechanismus umgangen wird, kann zwar nicht ausschließlich Software-basiert verhindert werden. Es lassen sich aber die Auswirkungen eines Angriffs je nach Produkt erheblich einschränken, z. B. durch Techniken zur Code-Verschleierung oder indem sensible Daten verschlüsselt im Flash-Speicherbereich abgelegt werden.

Die drei untersuchten Angriffstechniken gefährden die Integrität, Vertraulichkeit und Zuverlässigkeit beinahe aller in einer Marktanalyse identifizierten Microcontroller und der auf ihnen gespeicherten Informationen. Die in der Studie vorgeschlagenen und praktisch demonstrierten Gegenmaßnahmen können Software-basiert und oft nachträglich implementiert werden, ohne dabei die Leistung oder Funktion des Controllers stark zu beeinträchtigen.

Appell an Industrie, Forschung und Politik

Diese Schutzmaßnahmen finden jedoch noch nicht weitläufig Anwendung. Die Forschenden appellieren daher an Hersteller von Mikrocontrollern, Hardware-Angriffe in ihre Bedrohungsmodelle aufzunehmen und diese Modelle offenzulegen. Diese Informationen würden IoT-Produkthersteller, die ihre Mikrocontroller verbauen, in die Lage versetzen, angemessene Produkte für sicherheitsrelevante Anwendungsfälle auszuwählen. Die Forschungsgemeinschaft fordern sie auf, die Werkzeuge für Software-basierte Gegenmaßnahmen mit Blick auf Praktikabilität und Benutzerfreundlichkeit für Embedded-Entwicklerinnen und -Entwicklern zu verbessern. Gesetzgeber und Regulierer halten sie an, wirtschaftliche Anreize zu schaffen, dass Schutzmaßnahmen gegen Hardware-Angriffe für bestimmte Anwendungsfälle unerlässlich sind. Letztlich können auch Verbraucherinnen und Verbraucher durch ihr Kaufverhalten einen wichtigen Einfluss auf die Fortschritte bei der Entwicklung von besser geschützter Hardware nehmen.

Das Forschungsteam der Abteilung »Hardware Security« am Fraunhofer AISEC betont: »Unsere Studie zeigt, dass Hardware-Angriffe auf Mikrocontroller eine reale Bedrohung für sicherheitsrelevante IoT-Systeme darstellen. Wir wollen dazu motivieren, Sicherheit von Mikrocontrollern bei ihrer Entwicklung stets zu berücksichtigen und effektive Gegenmaßnahmen zu implementieren.«