Schutz gegen Wegelagerer aller Art, Teil 1 Sicherung der Hardware-Lieferung

Anbieter zum Thema

Dell GmbH

Rittal GmbH & Co. KG

EPS Rechenzentrum Infrastruktur GmbH

Fakt ist: Bei der Absicherung der Supply Chain – also der eingesetzten Software oder gemeinsam mit Dienstleistern genutzten Systeme – sind viele Firmen zu nachlässig. Die allerwenigsten aber machen sich darüber Gedanken, was bei der Lieferung der Hardware passieren kann. Dabei gibt es durchaus Möglichkeiten, die Gefahren auf dem Weg von der Fertigung zum Unternehmen zu minimieren.

Manchmal bekommt man mehr, als man bestellt hat. Über eine Zugabe in Form eines Werbegeschenks wird sich niemand beschweren. Ganz anders sieht es jedoch aus, wenn man Opfer einer Supply-Chain-Attacke wurde. Solche Angriffe erfolgen über schlecht abgesicherte Schnittstellen und Systeme, über die Unternehmen mit ihren Partnern, Lieferanten und Kunden kommunizieren.

Auch Sicherheitslücken in der genutzten Software fungieren als Einfallstor für Kriminelle. Bleiben diese unbemerkt, entsteht eine so genannte Zero-Day-Schwachstelle, die vom Programmierer übersehen und daher nicht geschlossen wurde.

Wie hoch das Risiko ist, haben prominente Beispiele deutlich gezeigt. Dem Angriff der Hackergruppe REvil auf den amerikanischen Management- und -Sicherheitsdienstleister Kaseya fielen 2021 gut 1.000 Unternehmen zum Opfer – darunter die schwedische Supermarktkette Coop, die aufgrund nicht mehr funktionierender Abrechnungssysteme kurzfristig schließen musste. Ein anderes Beispiel ist die Cyber-Attacke auf Solarwinds im Jahr 2020, die monatelang unbemerkt blieb, so dass der IT-Dienstleister Kunden auf der ganzen Welt mit schädlichem Code infizierte.

Unterschätzte Gefahr: Hackerangriffe auf die Lieferkette

Im Vergleich zu direkten Hackerattacken auf die Netzwerkarchitektur oder Phishing-Software passieren Supply-Chain-Angriffe oft unter dem Radar der Sicherheitsteams und werden folglich erst spät erkannt. Während allerdings das Bewusstsein für die Risiken dieser digitalen Supply Chain langsam zunimmt, bleibt ein „blinder Fleck“ übrig: Nahezu kein Unternehmen macht sich Gedanken darüber, ob die bestellte Hardware auf dem Weg vom Fertigungsband bis zum Aufstellen im eigenen Rechenzentrum in irgendeiner Art und Weise kompromittiert wurde.

Ein Angriff auf die „physische“ Lieferkette kann beispielsweise in Form von eingeschleuster Malware und Sniffing-Tools oder durch den Einbau manipulierter Komponenten wie Netzwerkkarten passieren. Letztere leiten den Datenverkehr dann einfach an eine zweite IP-Adresse weiter, sodass wertvolle Informationen und Zugangsdaten in die Hände Cyber-Krimineller gelangen.

Chancen für potenzielle Sicherheitsverletzungen gibt es viele: Die meisten Hersteller bauen ihre Rechner nicht selbst, sondern lassen sie über OEMs fertigen. Zwar haben diese Programme für die Absicherung der Lieferkette eingeführt, um so die Qualität und Sicherheit der Komponenten ihrer Zulieferer zu gewährleisten, trotzdem leiden beim OEM-Modell in der Regel die Kontrollmöglichkeiten:

Nicht immer fällt es gleich auf, wenn sich etwa ein Fremder auf dem Werksgelände bewegt und an den Geräten zu schaffen macht. Hinzu kommt, dass viele Lieferungen erst einmal irgendwo zwischengelagert werden, bis die Bestellung komplett ist. Bei Sub-Dienstleistern werden Zugangsbeschränkungen und Personalkontrollen in der Regel jedoch weniger streng gehandhabt. In der Folge können Kriminelle relativ einfach zuschlagen.

Fast jeder ist für Hacker interessant

Unternehmen dürfen sich beim Abwägen der Risiken keineswegs in falscher Sicherheit wiegen; denn es gilt die altbekannte Regel: Niemand ist zu klein oder zu unbedeutend, um nichts ins Visier von Cyber-Kriminellen zu geraten. Das betrifft dann sogar Firmen, die sich auf den Extra-Schutz für Rechner spezialisiert haben.

Das so genannte Härten oder Shielding ist ein gutes Beispiel. Hinter diesen Experten stehen oftmals kleine Dienstleistungsbetriebe, die für kritische Infrastrukturen im Anschluss an die Produktion eine sichere Konfiguration der IT-Systeme vornehmen. Doch auch hier gibt es Schlupflöcher für Missbrauch. Es ist also eher die Frage, wie systemrelevant ein Unternehmen ist und wie sensibel die Daten sind, die darüber entscheidet, ob Kriminelle versuchen, die Hardware während der Produktion oder der Lieferung zu manipulieren.

Dabei stehen gerade KRITIS-Unternehmen regulatorisch immer stärker unter Zugzwang: Kommende Vorgaben wie die NIS2-Richtlinie, die 2024 in nationale Gesetzgebung überführt werden muss, oder das IT-Sicherheitsgesetz 3.0, das in diesem Jahr an die neue europäische Rechtslage angepasst werden soll, schreiben nicht nur klassische IT-Security-Maßnahmen wie Multifaktor-Authentifizierung oder Verschlüsselung vor, sondern beziehen explizit den Schutz der kompletten Lieferkette mit ein.

Verifizierung der Hardware-Konfiguration

Was nun die Kompromittierung der Hardware mit Verlassen des Werks – also Angriffe auf die „physische“ Lieferkette – betrifft, gibt es durchaus eine intelligente Lösung: Eine digitale Verifizierung der Konfiguration hilft, Manipulationen jeder Art auf die Spur zu kommen.

Dazu wird ein kryptografisches Zertifikat erstellt, das quasi eine Bestandsaufnahme aller Komponenten und Konfigurationen des Systems zum Zeitpunkt der Fertigstellung im Werk anhand eindeutiger Kenndaten abbildet. Dieses Zertifikat wird in einem gesicherten Speicherbereich (Silicon Root of Trust) abgelegt und dem Kunden zusätzlich getrennt von der eigentlichen Hardware überreicht.

Das Unternehmen kann dann mit Hilfe einer speziellen App die Konfiguration des gelieferten Gerätes vor dem ersten Einsatz mit der ursprünglichen Konfiguration zum Zeitpunkt der Herstellung abgleichen. Das Ergebnis ist entweder eine perfekte Übereinstimmung oder eine Liste von Komponenten, die davon abweichen, wie das System bestellt worden ist und das Werk verlassen hat. Autorisierte Änderungen können dabei Upgrades der Laufwerke oder des Speichers sein, nicht autorisierte Änderungen hingegen jede Art von Manipulation.

Absicherung der Lieferkette ist nur ein Puzzle-Teil

Die IT-Hersteller haben zudem zahlreiche weitere Möglichkeiten, die Lieferkette zu schützen. Die Pakete lassen sich beispielsweise mit GPS-Etiketten versehen, so dass ihr Standort jederzeit verfolgt werden kann. Eine manipulationssichere Verpackung oder das Verschleiern der Zieladresse sind ebenfalls eine Option.

Im Mittelpunkt muss immer der gesamte Lebenszyklus der Rechner stehen – von Entwicklung über Beschaffung, Fertigung und Auslieferung bis hin zum Einsatz und schließlich der Entsorgung. Bevor zum Beispiel irgendeine Komponente verbaut wird, sollte sie zunächst einmal „geflasht“, also die vorhandenen Tools gelöscht und neu aufgespielt werden. Dadurch wird sichergestellt, dass die Firmware sauber ist und nicht etwa mit einem Spionage-Tool verseucht wurde.

Im gleichen Maße, wie Cyber-Bedrohungen zunehmen, müssen IT-Hersteller zudem die integrierten Sicherheitsfunktionen ihrer Serverhardware weiterentwickeln. Funktionen, die ungewollte Firmware-Downgrades unterbinden, Multi-Faktor-Authentifizierung, um unberechtigte Zugriffe zu verhindern, oder signierte BIOS- und Firmware-Images, die nicht autorisierten Code blockieren, erhöhen die Resilienz. Dahinter verbirgt sich der Gedanke der „Cybersecurity by Design“.

(ID:49329803)