image

EFF: fabrikanten moeten opensourcefirmware gebruiken

zaterdag 21 februari 2015, 09:42 door Redactie, 8 reacties

Deze week werd bekend dat een zeer geavanceerde spionagegroep malware ontwikkelde die zich in de firmware van harde schijven kan verstoppen, wat volgens de Amerikaanse burgerrechtenbeweging EFF aantoont dat fabrikanten alleen firmware zouden moeten gebruiken die open source is.

Zodra de firmware door de malware is aangepast is dit nauwelijks te detecteren en geeft het de aanvallers de mogelijkheid om het formatteren van de harde schijf of opnieuw installeren van het besturingssysteem te overleven. De computer kan zo permanent worden bespioneerd. Volgens de EFF heeft het onderzoek naar de malware voor nieuwe zorgen over de veiligheid van computeronderdelen gezorgd.

"De moderne computer bestaat uit allerlei kleine computers. Al die computers zouden kunnen worden geïnfecteerd met kwaadaardige software onafhankelijk van de hoofdcomputer", zegt Eva Galperin van de EFF. Ze merkt op dat gebruikers niet direct met deze onderdelen communiceren of ze te zien krijgen. "Dus niemand heeft erover nagedacht om ze te beveiligen, hoe ze op malware te scannen zijn of hoe er zelfs een forensische analyse op kan worden uitgevoerd." Zodra er echter één onderdeel is besmet kan de hele computer gecompromitteerd raken.

De EFF roept hardwarefabrikanten dan ook op om opensourcefirmware te gebruiken, zodat de veiligheid geaudit kan worden en dat consumenten ze kunnen updaten en vervangen. "We moeten ook voor manieren zorgen zodat de gemiddelde computergebruiker kan controleren dat de firmware op zijn apparaten ook de verwachte firmware is", merkt Galperin op. De informatie die deze week bekend werd laat volgens haar zien dat alle bedrijven stappen moeten nemen om de privacy van consumenten te beschermen en dat ze moeten bewijzen dat ze hun klanten niet aan surveillance blootstellen.

Reacties (8)
21-02-2015, 10:56 door perplex0
Je kan je afvragen, waarom dit niet al veel eerder, en veel steviger, onder de aandacht is gebracht. Natuurlijk vormen al die eigen 'systeempjes' een extra veiligheidsrisico. Maar misschien is dat wel met opzet. Hoe meer transparantie er is in een systeem, hoe minder mogelijkheden er zijn om te manipuleren. En dat is iets wat de 'vrienden' van de inlichtingendiensten helemaal niet zo fijn vinden. De oproep voor gebruik van opensourcefirmware zal dus wel genegeerd of zelfs afgekocht gaan worden.
21-02-2015, 11:31 door Anoniem
Door bravenewworld: Je kan je afvragen, waarom dit niet al veel eerder, en veel steviger, onder de aandacht is gebracht.
"Het werkt toch?" -- out of sight, out of mind.

Dus zolang we niet met zijn allen fabrikanten aanschrijven om hun firmware te publiceren gaat het niet gebeuren.
21-02-2015, 11:32 door Anoniem
Het is het bekende gebruikersgemak en de kracht van het systeem wat helaas voorop staat.
Gebruikersgemak (plug en play) betekent dat je inleverd op wat er precies gebeurd.
De kracht van het systeem betekent dat men de zwakte van nodige afscherming als een belangrijk feature ziet.

Het verbaasde me dat er een reclame is/was dat het zo mooi is dat je de apparatuur thuis van uit een verre vakantiebestemming kunt bedienen.Technisch leuk maar functioneel niet zinvol en het houdt ook in dat een willekeuring persoon dat ook zou kunnen doen als ben je zelf thuis. Even nadenken.....
21-02-2015, 12:30 door Anoniem
Hahaha. Open source? En garandeert dat dan dat gebruikers ontdekken dat er iemand aan de firmware heeft gezeten?
Bedrijfsgevoelige informatie tot in de details prijsgeven door firmware verplicht te openbaren (waarmee het dus wordt blootgesteld aan "reverse engineering" door de concurrent...) lijkt me sowieso geen goed idee.
Bovendien maakt een kwaadwillende dankbaar gebruik van open source om te kunnen ontdekken waar eventueel een stukje malwarecode het beste in de firmware kan worden ingepast...

Nee, men moet simpelweg voorkomen dat een firmware op elk moment softwarematig gewijzigd/aangepast kan worden zonder dat je dit merkt. Dit kan bijvoorbeeld door in hardware een zgn. "jumper" toe te voegen, die je eerst fysiek moet omzetten alvorens je een nieuwe firmware kunt flashen. (flashen is dan dus fysiek onmogelijk als de jumper niet in de juiste stand staat).

Wat fabrikanten daarnaast nog zouden kunnen doen, is een niet te manipuleren chip/systeem ontwikkelen die met één enkele instructie bijv. de sha256-hash van de flash-inhoud (firmware) generereert, en naar de buitenwereld communiceert. Deze hash zou dan bijv. in het O.S. kunnen worden uitgelezen in "eigenschappen"
Als fabrikanten dan de juiste firmwarehashes van hun firmwares op een beveiligde website (https) plaatsen, dan kunnen gebruikers die sha256-hash zelf controleren.
Zo'n verificatieproces automatiseren zou ook nog kunnen. Altijd makkelijk wanneer iets "vanzelf" gaat. (maar in sommige gevallen gaat het dan ook wel eens "vanzelf fout" zonder dat je het merkt!!! Aan gemak zit meestal een keerzijde...)

En niet te vergeten: als fabrikanten zélf iets inbouwen in de firmware wat niet door de beugel kan, dan zijn zij natuurlijk 100% aansprakelijk voor rotzooi die ze er bewust in hebben geprogrammeerd en zijn ze (waarschijnlijk) failliet!
En de veroorzakers hoeven hun gezicht op deze wereld dan nooit meer te tonen, of ze worden door de menigte gekielhaald en gevierendeeld en zo... Dus dat zullen ze niet zo snel doen.

Jan.Doppie
21-02-2015, 14:40 door Anoniem
Wat fabrikanten daarnaast nog zouden kunnen doen, is een niet te manipuleren chip/systeem ontwikkelen die met één enkele instructie bijv. de sha256-hash van de flash-inhoud (firmware) generereert, en naar de buitenwereld communiceert. Deze hash zou dan bijv. in het O.S. kunnen worden uitgelezen in "eigenschappen"

Dit lijkt me nog niet zo makkelijk, als malware val je dan toch gewoon de code aan die de hash rapporteert?
21-02-2015, 17:06 door EKTB
Om het maar niet te hebben over de baseband radio software die in iedere mobiele telefoon aanwezig is.
21-02-2015, 17:44 door mcb
Door Anoniem 12:30:
Nee, men moet simpelweg voorkomen dat een firmware op elk moment softwarematig gewijzigd/aangepast kan worden zonder dat je dit merkt. Dit kan bijvoorbeeld door in hardware een zgn. "jumper" toe te voegen, die je eerst fysiek moet omzetten alvorens je een nieuwe firmware kunt flashen. (flashen is dan dus fysiek onmogelijk als de jumper niet in de juiste stand staat).
Heel leuk bedacht, maar hoe wil je dat op bijv. een laptop doen?
Een jumpertje benaderbaar via bijv. het batterijvak voor op het moederbord geintegreerde onderdelen is mss nog nog wel te doen.
Maar hoe wil je dat doen met losse onderdelen zoals ssd/hdd, dvd-drive, wifi-zender?
Tablets openschroeven lijkt mij voor een niet-technisch iemand helemaal niet te doen.
22-02-2015, 18:26 door Anoniem
Door Anoniem: Dit lijkt me nog niet zo makkelijk, als malware val je dan toch gewoon de code aan die de hash rapporteert?
Klopt enigszins (hoewel lijkt me nog niet zo gemakkelijk als je dit goed ontwerpt) en daarom moet je het zoals gezegd dus ernaast doen. D.w.z.: toegevoegd aan die hardware veiligheidsjumper die voorkomt dat er op ieder willekeurig moment naar believen fw kan worden geflasht. Het was overigens niet mijn intentie om de wet voor te schrijven over hoe het dan precies moet (het was maar als voorbeeld/suggestie bedoeld). Maar de strekking is dat er meer "security by design" moet komen, en dat wellicht een toegevoegde hardwarematige oplossing in veel gevallen de voorkeur verdient.
Omdat je dan namelijk fysiek iemand op locatie moet hebben die even de jumper omzet om te kunnen flashen, zodat het
heel bewust gebeurt.

Door mcb:
Door Anoniem 12:30:
Nee, men moet simpelweg voorkomen dat een firmware op elk moment softwarematig gewijzigd/aangepast kan worden zonder dat je dit merkt. Dit kan bijvoorbeeld door in hardware een zgn. "jumper" toe te voegen, die je eerst fysiek moet omzetten alvorens je een nieuwe firmware kunt flashen. (flashen is dan dus fysiek onmogelijk als de jumper niet in de juiste stand staat).
Heel leuk bedacht, maar hoe wil je dat op bijv. een laptop doen?
Een jumpertje benaderbaar via bijv. het batterijvak voor op het moederbord geintegreerde onderdelen is mss nog nog wel te doen.
Maar hoe wil je dat doen met losse onderdelen zoals ssd/hdd, dvd-drive, wifi-zender?
Tablets openschroeven lijkt mij voor een niet-technisch iemand helemaal niet te doen.
Niet zelf bedacht. Ca.in de negentiger jaren was dit de situatie om bijv. een BIOS-flash bij een PC te kunnen doen.
Maar onder het motto "dure" extra jumper en "veel te onhandig en onnodig" is dit soort techniek toen geschrapt.
(wat de menigte in al hun eigenwijsheid wil, kunnen ze krijgen. Vooral als het de fabrikant meer klinkende munt oplevert...)

Ingebouwde vervangbare onderdelen als een HDD kun je meestal (maar niet altijd) nog wel vlot uit een portable krijgen.
Maar volledig geïntegreerde moeilijk toegankelijke onderdelen kan een uitdaging zijn.
Inderdaad dan bijv. ergens een toegankelijke voorziening treffen waarmee de gebruiker enable/disable fw flash kan instellen, of het aan een techneut overlaten in geval je zelf niet al te technisch bent.

Natuurlijk: je kunt er voor kiezen om het iedereen supermakkelijk maken: kind kan de was doen en zo. Maar dat is de situatie die we nu hebben. En dan krijg je vroeg of laat met security problemen te maken waar we nu tegenaan lopen.
De praktijk leert: te makkelijk toegankelijk = insecure! Jammer, maar zo is het nu eenmaal. Dus wat willen we?
In beeldspraak uitgedrukt: willen we nu toch maar een slot op de voordeur zodat je iedere keer met een sleutel moet klooien (hoewel: dat zal ook wel weer wennen...), of willen we een "open deur" handhaven voor zowel vriend als vijand?...
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.