Das integrierte TPM (Trusted Module Platform) ist heute ein Schlüsselelement der Systemsicherheit. So sehr, dass Microsoft, wie Sie vielleicht wissen, die Installation von Windows 11 nur auf Systemen zulässt, die mit diesem Sicherheitssystem ausgestattet sind (mit wenigen Ausnahmen, wie wir Ihnen hier gesagt haben). TPM-Chip in einer komplizierten Situation und die nicht die Möglichkeit haben, ihn zu installieren.
Tatsache ist, dass Hersteller und Entwickler auf Chips setzen, die die Sicherheit bestimmter Vorgänge garantieren, wobei TPM kompatible Systeme und eine sichere Enklave als Implementierung derselben von Apple begleiten. Und zweifellos bietet dieses System in den allermeisten Fällen ein mehr als ausreichendes Maß an Sicherheit, bei dem wir Ruhe bewahren können.
TPM hat sich jedoch als nicht unfehlbar erwiesen, unter bestimmten Umständen und mit einem komplexen, aber machbaren Verfahren ist es möglich, den Schutz zu umgehen, der theoretisch das Einschalten und Verwenden eines Systems und unter denselben Umständen den Zugriff auf ein Unternehmensnetzwerk verhindert , mit den enormen Risiken, die dies birgt. Bevor wir die Schwachstelle analysieren, bestehen wir noch einmal auf dem, was wir zuvor erwähnt haben, dies sind sehr spezifische Umstände und es ist kein Angriff für jedermann, aber es ist dennoch wichtig, darüber Bescheid zu wissen und ihn gegebenenfalls zu verhindern.
Diese Entdeckung ist das Ergebnis einer Untersuchung, die vor einigen Tagen von durchgeführt und veröffentlicht wurde Dolos-Gruppe, deren Autoren vollen Zugriff auf die Festplatte eines Laptops erhielten, der für den Zugriff auf ein Firmennetzwerk über eine sichere VPN-Verbindung vorkonfiguriert war. Diese Art der Konfiguration ist in Unternehmen weit verbreitet, die diese Computer an ihre Mitarbeiter weitergeben, damit diese sicher per Telearbeit arbeiten können.
TPM ist sicher, seine Implementierung weniger
Da viele Angriffe aufgrund der Sicherheit des TPM-Chips ausgeschlossen sind, versuchten die Forscher einen anderen Ansatz, dh sie suchten nach Schwachstellen im Zusammenhang mit dem Chip selbst und seiner Integration in das System. Bei der gängigsten Konfiguration bootet das System direkt in Windows, ohne dass ein vorheriger Schritt die Eingabe eines Passworts erfordert. Ein einzelner Schlüssel, der auf dem Chip gespeichert ist, wird verwendet, um das System zu entsperren.
Die Konstruktion der TPM-Chips selbst macht den Versuch, direkt auf deren Inhalt zuzugreifen, praktisch unmöglich. Einigen Modellen wird sogar eine physikalische Selbstzerstörungsfunktion nachgesagt, wenn Zugriffsversuche ins Innere erkannt werden. Inzwischen sind die Punkte, die den Chip an der Platine befestigen, so klein, dass es in der Praxis fast unmöglich ist, etwas daran zu löten, um zu versuchen, auf die Daten zuzugreifen, die zum und vom Chip übertragen werden.
Und was nützt der Zugriff auf einen solchen Datenverkehr? Hier müssen wir wissen, dass die TPM-Verbindung zur CPU über einen SPI-Bus (Serial Peripheral Interface) erfolgt und dass aufgrund der Sicherheitsimplementierung von BitLocker ein Sniffer auf diesem Datenbus den Entschlüsselungsschlüssel der Speichereinheit des Systems ermöglichen könnte zu erhalten, da unverschlüsselt übertragen wird.
Idealerweise sollte das TPM aus Sicherheitsgründen einen dedizierten Bus haben, der es mit der CPU verbindet, aber aus Design- und Kostengründen stellt sich heraus, dass derselbe Bus, der für diese Verbindung verwendet wird, auch von anderen Komponenten auf dem Motherboard verwendet wird, einschließlich des CMOS Chip, der das BIOS des Systems beherbergt. Was ist das Besondere an diesem Chip? Nun, im Gegensatz zum TPM sind die Pins, die es mit dem Motherboard verbinden, sehr groß, so dass es viel einfacher ist, etwas daran anzuschließen.
Der nächste Schritt bestand darin, den gesamten Datenverkehr auf dem SPI-Bus, an den sowohl das BIOS als auch der TPM-Chip angeschlossen waren, zu analysieren und alle Daten zu filtern, um den Verschlüsselungsschlüssel zu extrahieren. Es dauerte nicht lange, bis sie den Systemzugriff auf die Festplatte ausnutzten, um Zugriff auf den Inhalt der Speichereinheit zu erhalten. Von diesem Moment an war der Krieg bereits gewonnen, die Forscher hatten bereits den Schlüssel erhalten, um den Inhalt der Diskette zu entschlüsseln.
Mit dem erhaltenen Laufwerks-Entschlüsselungsschlüssel mussten sich die Forscher nicht mehr mit der Unmöglichkeit auseinandersetzen, das System ohne den Schlüssel zu entsperren: Der nächste Schritt bestand darin, die SSD vom Laptop zu trennen und sie mit einem anderen System zu verbinden, um auf ihren Inhalt zuzugreifen.
Noch schlimmer als es aussah
Bei der Analyse des Festplatteninhalts ergab sich eine höchst interessante Erkenntnis: Auf dem PC war ein Firmen-VPN-Client installiert, vorinstalliert und vorkonfiguriert, einsatzbereit. Im Gegensatz zu VPN-Clients für Privatanwender haben Unternehmenslösungen ein sehr interessantes Feature: Sie bauen die Verbindung auf, bevor sich der Benutzer anmeldet. Auf diese Weise werden die Domänenskripte auf den Systemen ausgeführt, sobald diese eingeschaltet werden, wodurch eine jeweils computerspezifische Passwort-Authentifizierung vermieden wird, die für den Administrator solcher Systeme zum Albtraum werden könnte.
Was bedeutet das? Nun, an diesem Punkt könnten Forscher und potenzielle Angreifer auf viele bekannte Techniken zurückgreifen, um Malware in die SSD des angegriffenen Systems einzuschleusen, die dann auf dem PC wieder zusammengesetzt wird. Und wenn dieser PC oder ein Dump seiner Festplatte in einer virtuellen Maschine gestartet wird, greift er sofort auf das Unternehmensnetzwerk zu, sodass nicht nur die Sicherheit dieses Systems, sondern der gesamten Infrastruktur gefährdet ist.
Wie eingangs erwähnt, handelt es sich um einen komplexen Angriff, da er einen physischen Zugriff auf das System erfordert und mit gewissen zusätzlichen Sicherheitsmaßnahmen entwertet wird. Die einfachste Möglichkeit besteht darin, dass der Benutzer zum Starten des Systems ein Passwort eingeben muss (das System selbst, nicht Windows), und es kann auch ein zusätzliches Sicherheitssystem verwendet werden, das die Kommunikation zwischen dem TPM und der CPU verschlüsselt.
Wir sprechen also von einem Sicherheitsproblem, das nicht einfach auszunutzen ist, aber existiert, das reproduziert werden kann (umso mehr, nachdem es veröffentlicht wurde) und das zeigt, dass auch ein TPM-Chip keine vollständige Sicherheit garantiert. Daher sind zusätzliche Maßnahmen wie das Sperren des Systemstarts mit einem Passwort unumgänglich.
Und vor allem eine Empfehlung ist entscheidend: Denken Sie daran, dass wir nie eine hundertprozentige Sicherheit haben werden. Ob wir einen TPM-Chip, ein sehr sicheres VPN usw. haben, wir dürfen die Sicherheit nicht vernachlässigen. Beobachten Sie unsere Computer, installieren Sie keine Software zweifelhafter Herkunft, seien Sie sehr vorsichtig mit dem, was wir per E-Mail erhalten… ja, wir wissen, dies sind die gleichen alten Richtlinien, aber ihre Bedeutung ist von grundlegender Bedeutung, wenn es darum geht, uns vor Bedrohungen zu schützen.