Hardware-Manipulationen : Bei Verdacht: Röntgen : Wie Manipulationen an IT-Hardware aufgedeckt werden können
Ob Mobiltelefon, Schlüsselgerät oder Monitor – bei vielen elektronischen Geräten sind Manipulationen an der Hardware denkbar, die einem Angreifer Zugriff auf vertrauliche Informationen verschaffen. Hier kann die Röntgentechnikhelfen, diese Manipulationen zu erkennen oder zumindest den erforderlichen Aufwand für den Angreifer deutlich zu erhöhen.
Von Thomas Finke, BSI
Mit Hardwaremanipulationen können Angreifer auf verschiedenen Wegen in die Funktion eines IT-Gerätes eingreifen. Im Wesentlichen kann man folgende Angriffsmöglichkeiten unterscheiden:
- Einbau zusätzlicher Komponenten: So kann zum Beispiel der Einbau eines Funkmoduls in eine Tastatur dafür sorgen, dass alle Tastenanschläge unbemerkt vom Nutzer versendet werden.
- Änderungen an Schaltung oder Aufbau: Indem beispielsweise ein Abschirmblech in einem Monitor entfernt wird, kann der Bildinhalt elektromagnetisch abgestrahlt und vom Angreifer empfangen werden.
- Manipulationen durch Austausch von Chips: Hierbei werden neue Chips mit einem geänderten oder erweiterten Funktionsumfang eingebaut.
Manipulationsprävention
Um solche Manipulationsversuche nachzuweisen, kann man die in Verdacht stehenden Geräte in einer Röntgenanlage genauer betrachten; besonders manipulationsgefährdete Geräte können im Laufe ihrer Verwendungszeit mehrfach untersucht werden. Die erste Untersuchung sollte dabei optimalerweise anhand einer vertrauenswürdigen Konfiguration direkt nach der Fertigung stattfinden – sie dient der Erzeugung von Referenzaufnahmen. Das entstehende Bildmaterial der Folgeuntersuchungen kann dann mit den Referenzaufnahmen verglichen werden, Veränderungen lassen sich so eindeutig feststellen.
Auf Röntgenbildern lassen sich Veränderungen gerade an verlöteten Bauteilen oftmals gut erkennen. Versucht etwa ein Angreifer die in der Abbildung 1 links dargestellte Baugruppe zu manipulieren, indem er den Chip austauscht, so lassen sich die Spuren dieses Vorgangs auf den beiden Röntgenaufnahmen eindeutig erkennen: Beim Lötvorgang bildet sich unterhalb der Bauteile ein zufälliges Muster aus Flussmittel, Lot und Luft, das sich nicht reproduzieren lässt. Durchkontaktierungen füllen sich mehr oder weniger mit Lot und heben sich so als hellere oder dunklere Punkte ab.
2D-Untersuchung ohne Referenzbilder
Nicht immer liegen jedoch von Geräten unter Manipulationsverdacht Referenzbilder vor. In diesen Fällen kann man versuchen, ein baugleiches Modell zu beschaffen, um beide Geräte zu vergleichen. Da Hersteller jedoch oft zum Beispiel je nach Bauteilverfügbarkeit den Aufbau ihrer Geräte ändern, ist ein direkter Bildvergleich meist schwierig. Es bleibt dann nur die Möglichkeit, nach offensichtlichen Auffälligkeiten manuell zu suchen. Ein offensichtlich manuell verlegtes Stück Leitung, wie in Abbildung 3 dargestellt, bedarf auf jeden Fall einer genaueren Betrachtung.
3D-Untersuchung
Eine weitere Untersuchungsmöglichkeit bietet die Anfertigung eines dreidimensionalen Scans. Dabei werden während einer vollständigen Drehung des Untersuchungsobjektes zum Teil mehrere tausend Durchleuchtungen angefertigt – aus diesen wird dann im Rechner ein 3D-Modell erstellt (Computertomografie). Aus diesem Modell lassen sich für die weitere Analyse verschiedene Ansichten erzeugen, insbesondere können virtuell Schnittebenen angelegt werden. In Abbildung 2 wurden zunächst zwei Gehäuseseiten entfernt – das ermöglichte einen detaillierten Blick auf das Geräteinnenleben. Im Anschluss wurde die waagerechte Schnittebene nach unten bewegt; so konnten die weiteren Bauteilebenen dargestellt und untersucht werden.
Abbildung 1: Beim Lötvorgang bildet sich unterhalb von Bauteilen ein zufälliges Muster aus Flussmittel, Lot und Luft, das sich beim Austausch eines Chips nicht reproduzieren lässt.
Abbildung 2: Ansicht des Untersuchungsobjekts (oben) und als 3D-Modell – virtuelle Schnitte ermöglichen einen detaillierten Blick auf das Innenleben.
Abbildung 3: Röntgenbilder können nachträgliche manuelle Manipulationen offenbaren – im Bild eine offensichtlich manuell verlegte Leitung.
Verfügbare Röntgentechnik
Das BSI betreibt unter anderem eine Röntgenanlage, mit der eine Vielzahl von Untersuchungen möglich ist. Je nach Anwendung können dabei sowohl einfache 2D-Durchleuchtungen als auch vollständige 3D-Scans von Objekten durchgeführt werden. Diese Röntgenuntersuchungen bieten einen schnellen, in der Regel zerstörungsfreien Weg, um Einblicke in das Innenleben eines IT-Geräts zu erhalten. Gerade wenn vor dem ersten Einsatz des Geräts Referenzbilder einer vertrauenswürdigen Konfiguration angefertigt wurden, ist eine Manipulationserkennung schnell und zuverlässig möglich.