Microsofts BitLocker (Tool zur Festplattenverschlüsselung) hat mal wieder eine Schwachstelle. Von der aktuellen Lücke sind nicht nur alte Laptops von vor zehn Jahren betroffen, allerdings ebenfalls modernere Geräte mit TPM-Modulen. Die kürzlich aufgedeckte Sicherheitslücke ermöglicht es den BitLocker-Schlüssel abzugreifen, indem die unverschlüsselten Kommunikationskanäle zwischen der CPU und dem diskreten TPM ausgelesen werden.
Bug bei BitLocker: unverschlüsselte Kommunikation
Experten haben gezeigt, ebenso wie mit einem externen Schnüffelgerät die Kommunikation zwischen CPU und TPM angezapft werden kann um den BitLocker-Schlüssel zu stehlen. Lötstellen auf dem Mainboard zeigen – wo das Schnüffelgerät angeschlossen werden muss. Diese Schwachstelle betrifft nicht nur das Lenovo Thinkpad und das X1 Carbon, sondern theoretisch alle modernen Laptops mit einem diskreten TPM-Modul.
Anleitungen zum Knacken und betroffene Geräte
Sicherheitsforscher wie Stu Kennedy haben auf GitHub Anleitungen veröffentlicht wie man den Verschlüsselungsschlüssel von BitLocker vom TPM abgreifen kann. Kennedy hat bereits sieben moderne Laptops erfolgreich geknackt und vorgeführt. Dass Geräte wie das Dell Latitude und das Surface Pro 3 verwundbar sind.
Bisher bekannte betroffene Geräte sind unter anderem das Lenovo Thinkpad L440 mit TPM 1․2, das Lenovo X1 Carbon (Gen 11) mit TPM 2․0 und auch das Dell Latitude E7450 und E5450 mit verschiedenen TPM-Versionen. Auch das Microsoft Surface Pro 3 und das Asus TPM-M R2.0 mit TPM 2․0 sind anfällig für den Angriff.
Mögliche Angriffsmethoden
Die verschiedenen Angriffe zielen darauf ab die Kommunikationskanäle zwischen CPU und TPM zu übernehmen um den BitLocker-Schlüssel abzufangen. Angriffe auf die SPI-, I2C- oder LPC-Busse basieren alle auf demselben Grundprinzip, stellen jedoch eine ernste Sicherheitsbedrohung für Systeme dar die auf BitLocker setzen.
Folgen und Gegenmaßnahmen
Glücklicherweise erfordert diese Angriffsmethode physischen Zugang zum Laptop, sodass eine Fernausnutzung des Bugs ausgeschlossen ist. Dennoch sind bei einer Hausdurchsuchung oder Beschlagnahmung der Hardware sensible Daten möglicherweise gefährdet. Um das Risiko zu minimieren, sollten Nutzer alternative Verschlüsselungssoftware wie Veracrypt berücksichtigen oder das TPM-Modul bei der Verwendung von BitLocker ausschließen.
Es gibt die Möglichkeit, ein sekundäres Kennwort oder einen externen Sicherheitsschlüssel wie einen USB-Stick für die Sicherung zu nutzen. TPM bleibt zwar die Standardmethode jedoch Benutzer können bei der Einrichtung ihre Sicherheitsvorkehrungen anpassen um ihre Geräte zu schützen.
Kommentare