Ihre Sicherheit unsere Mission

Ihre Sicherheit unsere Mission 1

Ihre Sicherheit unsere Mission BadUSB vergleichbare Exploits und sinnvolle Verteidigungsstrategien 14. Deutscher IT-Sicherheitskongress 19. 21. Mai 2015, Stadthalle Bad-Godesberg, Bonn itwatch Stand: F7 im Foyer 2

Kurzvorstellung Ramon Mörl 25 Jahre Erfahrung als Berater in der IT-Sicherheit Leitende Tätigkeiten in Projekten für Firmen wie HP, IBM, Siemens, ICL und Bull in Belgien, Deutschland, Frankreich, Italien, Österreich, Schweiz und USA Als unabhängiger Evaluator und Berater der Europäischen Union vor allem im Bereich der ECMA und ISO-Standards für die IT-Sicherheit tätig Seit 2002 Geschäftsführer der itwatch GmbH 3

Ihre Sicherheit unsere Mission Agenda: 1. BadUSB 2. Vergleichbare Exploits 3. Sinnvolle Verteidigungsstrategien

Der BadUSB Angriff Auf der BlackHat Konferenz 2014 in Las Vegas stellten Karsten Nohl und Jakob Lell den als "BadUSB" bekannt gewordenen Angriff vor, der im Wesentlichen aus einer Modifikation des Controllers eines USB Datenträgers besteht. USB Ports dienen schon lange nicht mehr nur für den Anschluss von Maus und Tastatur. Es ist absolut üblich, dass USB Geräte mehrere Funktionen übernehmen Smartphone Strom laden, Massenspeicher Modem. Durch USB-Geräte kann so Schadcode eingeschleust, Datenverkehr umgeleitet oder durch Vortäuschen eines anderen Gerätes Daten und Rechner manipuliert werden. 5

Eingabegeräte unter Windows (vereinfachte Darstellung) 6

BadUSB Angriff (vereinfachte Darstellung) 7

Von BadUSB ausgenutzte Schwachstellen USB Geräte werden nicht authentisiert, sondern im besten Fall identifiziert Modifizierte Geräte können unter Vorspiegelung eines vordefinierten Namens, der sogar dynamisch ermittelt werden kann, und evtl. einer HardwareID beliebige Geräteidentitäten annehmen auch Hardware-IDs. Für das Patchen, Updaten oder Reprogrammieren von vielen der gängigen USB-Geräten ist keine Authentisierung oder Integritätsprüfung notwendig. 8

Peripherie-Geräte mit Schadfunktion über eine Tastatur Ein Peripherie-Gerät gibt sich zusätzlich als Tastatur aus. Mögliche Szenarien: Eigenständiges Versenden von vordefinierten Eingaben, die auf dem Peripherie-Gerät hinterlegt sind, an E-Mail-Verteiler. Unbemerktes Ausführen von Kommandos über die schädliche Tastatur als cmd, vbs, Einbettung zusätzlicher Schadfunktionen in das Kommando. Wie zum Beispiel: Datendiebstahl, Ransom Ware, Software Keylogger, usw. So können zusätzlicher Schadcode oder sogar vorgefertigte Bootviren hinterlegt werden. 10

Eingabe Geräte mit Schadfunktion Hübsche Maus mit Zusatzfunktionen 11

Peripherie-Geräte mit Schadfunktion Optischer Sensor in der Maus aktiviert eine eingebaute Sendefunktionen, die alle Daten erst überträgt, wenn es dunkel ist. Hardware kann zusätzlich mit einem Funkchip ausgestattet werden und so die erhaltenen / ausgespähten Daten (z.b. PIN für Smartcard) zu einem vorgegebenen Empfänger senden. Dadurch vermeidet es der Angreifer, dass er nach dem erfolgreichen Anbringen der Hardware noch einen physischen Kontakt mit dem angegriffenen System benötigt. Die Stromversorgung des Funkchips erfolgt dabei ebenso wie die eines Hardware-Keyloggers über den PC oder das Notebook bzw. die zugehörige Docking-Station. Direct Memory Access (DMA) durch Übergriffe im Treiberstack, z.b. von USB auf Firewire (läuft unter Systemprivilegien) 12

Device Control enthält zwingend: Trennung von Treiberstacks 13

Verarbeitung von Eingaben 14

Angriffe und Tastatureingaben Standardmässig kann JEDE Anwendung und JEDER laufende Prozess ALLE Eingaben auslesen Identitätsdiebstahl: Ein gut geführter Angriff auf die Tastatur und einige weitere Informationen zu Hardwareelementen (MAC ) kann mit einfachsten Mitteln die Identität stehlen und auf jedem Rechner der Welt übernehmen. Extrem hohes Risiko. Fachverfahren & Signaturen: Hardware ohne eigene PIN-Eingabe ist nicht gegen Soft- und Hardware-Keylogger geschützt Anwendungen können Signaturen unberechtigt nachfordern, wenn nicht bei jeder Signatur eine PIN Eingabe gefordert wird Jede Passwort und PIN Authentisierung kann wieder eingespielt werden. D.h. Fachverfahren mit eigener Authentisierung oder Signaturen auf Smart Cards werden angegriffen 15

Die Problematik Man Angreifer weiß nie, verstecken wo sich Angreifer sich immer verstecken! besser RiskWatch, z.b. MalWareTrap, Sichere bei Tatstaur BadUSB und LogOnWatch sind Produkte im der itwatch Controller GmbH; itwatch GmbH München 2000-2015 16

Was ist echte Sicherheit? Ein sicheres Auto hat: Sicherheitsgurte Mehrere Airbags Rückspiegel ABS Licht Trotzdem fühlt man sich in diesem Auto in dieser Situation nicht sicher! 18

Der letzte Meter (Un-)Sicherheit Viele Produkte und Vorgehensmodelle bieten ein angeblich sicheres Handlungsversprechen Doch der letzte Meter bleibt in den verschiedenen Dimensionen der IT- Sicherheit oft unberücksichtigt (z.b. Rechtssicherheit, Haftung, Einbindung in die Organisation und Technik) Dazu zählen die Sichere Tastatur, das automatische Erkennen von IT-Risiken am Arbeitsplatz und das Melden und Bearbeiten dieser Risiken in zentral definierten Prozessen unter dem Einbeziehen der Anwender mit rechtsverbindlichen Dialogen in Echtzeit. Unterstützung des Anwenders bei allen Aktivitäten durch Identifizieren und automatisches Separieren von kritischen Handlungsweisen. 19

Ihre Sicherheit unsere Mission Die beste Verteidigung ist eine gute IT-Sicherheitsarchitektur. Diese ist lückenlos in mehreren Dimensionen: Durchgehende, lückenlose Vertrauenskette Technik Organisation Rechtssicherheit Haftung Zusammenfügen der Sicherheitsprodukte zu einer sicheren, durchgehenden Vertrauenskette - von der Tastatur bis zu den Services und Daten Brückenschlag zwischen Security Awareness und Technischer Lösung Verfolgen der Lieferkette unter Berücksichtigung von überlagernden Rechtsräumen (z.b. patriot act) Wenn die Haftung für erfolgreiche Angriffe nicht durchgesetzt werden kann, muss der proaktive Schutz erhöht werden

Sichere Tastatur gegen BadUSB Was ist nötig um den Angriff fremde Tastatur bei BadUSB abzuwehren: Starke Authentisierung der richtigen Tatstatur Verbot für Doppelte Tastatur: Bei Bedarf Echtzeiterkennung und Freigabe der zweiten Tastatur durch den Anwender Hardwarekomponenten bei Auslieferung einfrieren Echtzeitmeldung bei Veränderungen Keine unbekannten Prozesse Sichere Maustastatur Schutz der Fachanwendungen durch eine sichere Übergabe von Passworten bis in die Anwendung Schutz vor dem Ausspähen auf den Mausbewegungen 21

BadUSB - Elemente der technischen Verteidigung Gehärtetes Logon Sicheres Formatieren Starke Geräte-Authentisierung Sichere Tastatureingabe Verschlüsselte Tastaturen Kontextsensitive Device Control Content Filter für Tastatureingaben Versiegeln einer Standardkonfiguration Applikations- und Prozesskontrolle Integritätsschutz Betriebssystem API Tastatur-Rhytmus Erkennung Content Control bei Tatstaturinput Zugriffskontrolle zwischen TreiberStacks Erkennen und Verhindern einer Zweittastatur Content Control bei SCSI Commands am Device Update von kritischen Controllern / Treibern / Firmware mit integren vor Nutzung Device Kontrolle auch außerhalb einer Benutzeranmeldung Bildschirmtatstaturen mit direkter Eingabe in die Fachanwendung, das Device Berechtigungsprüfung vor dem Patchen eines Controllers durch den integren Controller 22

Rahmenbedingungen Welchen Teilen eines USB-Devices muss man trauen, um die durch das USB-Device zur Verfügung gestellten Daten und Services sicher nutzen zu können? Es ist schwierig Produkte, die sich langjährig im Markt befinden, im Nachgang über einen neuen Standard sicherer zu gestalten. Unzulänglichkeiten der USB Schnittstelle und anderer Kanäle / Ports werden noch lange ein Problem darstellen. Es bedarf aktuell proprietärer Lösungen, um die Exploits sicher zu verhindern aber es ist möglich also sollten wir es tun! Kryptographie kann hier nicht allein schützen sondern nur einen Teil der Lösung als Grundlage bereit stellen. Wie können vollständige Vertrauensketten aufgebaut werden, so dass der Schaden der Angriffe sicher abgewehrt werden 23

Fazit & Diskussionspunkte Angriffe verstecken sich immer besser Durchgehende, sichere Vertrauensketten benötigen viel mehr Informationen über die an der Lösung beteiligten Produkte, als allgemein verfügbar sind. Wer kann diese verlässlich beschaffen? Das Know-how, welches man benötigt, um sich vor aktuellen und zukünftigen Angriffen zu schützen, ist rar und sicher nicht in jedem Unternehmen, jeder Organisation vorhanden. Wie können geeignete Sicherheitsstandards geschaffen werden? Welche Metrik ist geeignet für vertrauenswürdige IT-Lösungen? Notwendige Strategien den netzzentrierten Blick erweitern: Die richtigen Cyber-Security Test-Center und Erkennungsmethoden ermöglichen Identifikation von Angriffen in Echtzeit Kooperation und Weitergabe der Erkenntnisse in Echtzeit Standardisierte Daten und Impfstoffe zur Schadensabwehr 24

itwatch White Paper BadUSB Das itwatch White Paper zu BadUSB bietet praxisrelevante Grundlagen und zahlreiche Expertentipps. Für detaillierte Informationen, senden wir Ihnen gerne unser White Paper zu. Melden Sie sich hierzu einfach auf unserem Messestand (F7). Wir freuen uns auf Sie! Vielen Dank! 25

Besten Dank für Ihre Aufmerksamkeit 26