IoT-Firmware-Sicherheit und Update-Mechanismen: Ein tiefer Einblick

Die Nutzung vernetzter IoT-Geräte (Internet der Dinge) nimmt rasant zu und führt zu vielfältigen Cyberangriffen und Lieferkettenbedrohungen, die auf diese Endgeräte abzielen. Reale Angriffe haben gezeigt, wie Firmware ausgenutzt werden kann, um Botnetze zu erstellen, Daten zu stehlen oder sogar die Kontrolle über kritische Infrastrukturen zu übernehmen. Das berüchtigte Mirai-Botnetz beispielsweise nutzte unsichere IoT-Geräte für massive DDoS-Angriffe. Viele dieser Geräte verfügten über fest codierte Zugangsdaten und keine Möglichkeit, ihre Firmware zu aktualisieren.

Daher ist die Aktualisierung der Firmware Ihrer IoT-Geräte ein entscheidender Aspekt Ihrer Cybersicherheit. Firmware-Updates sind unerlässlich, um Softwarefehler zu beheben, Schwachstellen zu schließen oder neue Sicherheitsfunktionen hinzuzufügen. Ebenso wichtig ist die Gewährleistung der Sicherheit und Vertrauenswürdigkeit dieser Updates.

IoT-Firmware-Sicherheit, definiert: Sicherstellen, dass auf einem Gerät nur authentische, unveränderte Firmware ausgeführt wird und dass jedes Update vor der Installation kryptografisch verifiziert wird; Kombination aus Secure Boot (Vertrauen beim Einschalten), signierten OTA-Updates (Vertrauen zum Zeitpunkt des Updates) und Rollback-Schutz (kein Downgrade auf eine anfällige Version) auf Geräten, die oft zu ressourcenbeschränkt sind, um herkömmliche Sicherheitssoftware auszuführen.

Wichtige Erkenntnisse

• Diese Seite behandelt den Lebenszyklus von IoT-Geräten und OTA-Updates: reale Vorfälle, Verantwortlichkeiten von Herstellern und Endnutzern sowie Standards. Für detaillierte Informationen zur Boot-Chain-Kryptografie (Hardware-Vertrauensanker, Rollback-Zähler, Herstelleridentitäten) siehe Bootloader-Vertrauen: Die entscheidende Rolle der Firmware-Signatur.
• Ein durchgesickerter oder kompromittierter Firmware-Signaturschlüssel erfordert eine vollständige Wiederherstellung und ist kein einfacher Schlüsselaustausch: Jedes bereits im Einsatz befindliche Gerät vertraut dem alten Schlüssel, und ein Widerruf bedeutet ein Update und keine Zertifikatsprüfung.
• ML-DSA (FIPS 204) und SLH-DSA (FIPS 205) sind die vom NIST im August 2024 finalisierten Post-Quanten-Signaturstandards; LMS und XMSS (NIST SP 800-208) sind die zustandsbehafteten Hash-basierten Schemata, die CNSA 2.0 speziell für die Firmware-Signatur spezifiziert.

Wichtigste Herausforderungen bei der IoT-Firmware-Sicherheit

Die Sicherung von Firmware ist nicht so einfach wie die Sicherung einer Webanwendung. IoT-Geräte sind oft ressourcenbeschränkt, d. h. sie verfügen nicht über die nötige Rechenleistung oder den nötigen Speicher, um herkömmliche Sicherheitsprotokolle zu unterstützen. Zudem sind sie unglaublich vielfältig – unterschiedliche Chipsätze, Betriebssysteme und Update-Mechanismen. Dieser Mangel an Standardisierung erschwert die Anwendung einer Einheitslösung.

Die Anfälligkeit der Lieferkette stellt eine zentrale Herausforderung für die Firmware-Sicherheit dar, da Firmware häufig von Drittanbietern entwickelt oder aus Open-Source-Komponenten zusammengestellt wird. Dies öffnet Manipulationen Tür und Tor, lange bevor das Gerät den Endnutzer erreicht. Und sobald es im Einsatz ist, wird die Aktualisierung der Firmware zu einem logistischen Albtraum, sofern dies nicht von Anfang an eingeplant wurde.

Darüber hinaus ermöglicht der unbefugte Zugriff auf Code-Signaturschlüssel oder Firmware-Signaturmechanismen Angreifern, sich als vertrauenswürdig auszugeben und schädliche Updates an Geräte zu senden, die vertrauenswürdig erscheinen.

Und schließlich könnten unsichere Codierungspraktiken es Angreifern ermöglichen, Pufferüberläufe auszunutzen, um Fernzugriff auf Geräte zu erhalten und DDoS- oder Malware-Injection-Angriffe durchzuführen.

Folgen unsicherer IoT-Firmware

Unsichere IoT-Firmware kann zu verschiedenen Angriffen führen, die ein Angreifer ohne Vorwarnung aus der Ferne ausführen kann. Sehen wir uns einige Beispiele an:

1. Im September 2016 starteten die Entwickler von Mirai einen DDoS-Angriff auf die Website eines bekannten Sicherheitsexperten. Kurz darauf veröffentlichten sie den Quellcode, der schnell von anderen Cyberkriminellen übernommen wurde. Dies führte im Oktober 2016 zu einem massiven Angriff auf den Domain-Registrierungsdienstleister Dyn, der weitreichende Störungen verursachte.

2. Das RIFT-Botnetz tauchte im Dezember 2018 auf und nutzte verschiedene Exploits, um IoT-Geräte zu infizieren. Online-Quellen zufolge nutzte das Botnetz 17 Exploits.

   Am 11. Dezember 2018 wurde eine Sicherheitslücke im ThinkPHP-Framework gemeldet, die die Ausführung von Remote-Code ermöglichte. Dabei wurden Betriebssystembefehle über den Abfrageparameter „vars“ eingeschleust. Dies entspricht einer typischen Ausnutzungssequenz, die bei RIFT-Angriffen beobachtet wird.

3. Bei einem anderen Vorfall hat D-Link versehentlich private Code-Signaturschlüssel weitergegeben, die zum Signieren von Software verwendet werden. Es ist zwar nicht bekannt, ob die Schlüssel von böswilligen Dritten verwendet wurden, es besteht jedoch die Möglichkeit, dass ein Hacker sie zum Signieren von Schadsoftware verwendet hat, was Angriffe erheblich erleichtert.
4. Bei einem der Angriffe auf vernetzte Autos enthüllten Forscher des chinesischen Unternehmens Tencent, dass sie sich durch die WLAN-Verbindung eines Tesla S bis zu dessen Fahrsystemen durchbohren und die Bremsen des fahrenden Fahrzeugs aus der Ferne aktivieren konnten.

Sicherung von IoT-Firmware-Updates – Die Sicht der Anbieter

Mit Over-the-Air-Updates (OTA) können Sie Firmware-Patches, Sicherheitsfixes und sogar neue Funktionen per Fernzugriff auf Geräte übertragen, ohne dass ein physischer Zugriff erforderlich ist. OTA-Updates werden in der Regel über Mobilfunkdaten (4G oder 5G) oder über Internetverbindungen bereitgestellt.

OTA vereinfacht nicht nur Firmware-Updates, sondern erhöht auch die Ausfallsicherheit und bietet Ihrem Unternehmen die nötige Krypto-Agilität, um Cyberangriffe jeglicher Art abzuwehren. Ohne OTA sind Sie auf die Firmware angewiesen, die zum Zeitpunkt der Markteinführung auf dem Gerät installiert war. Und wenn diese Firmware Sicherheitslücken aufweist, geraten Sie in Schwierigkeiten.

Die Entwicklung eines sicheren OTA-Systems ist entscheidend für die Firmware-Sicherheit. Jedes Update sollte mit einem privaten Schlüssel signiert und auf dem Gerät mithilfe eines zugehörigen öffentlichen Schlüssels verifiziert werden. Dadurch wird sichergestellt, dass nur vertrauenswürdige Updates installiert werden. Geräte sollten Updates ablehnen, die diese Kriterien nicht erfüllen. Der Update-Prozess sollte zudem Integritätsprüfungen umfassen, um Manipulationen während der Übertragung zu verhindern. Darüber hinaus ist ein Schutz vor Rollbacks unerlässlich, um zu verhindern, dass Angreifer die Firmware auf eine anfällige Version zurücksetzen können.

Ebenso wichtig ist die Infrastruktur hinter den Updates. Sie benötigen eine sichere Serverumgebung für die Firmware, einen zuverlässigen Bereitstellungsmechanismus und ein Überwachungssystem, um die Erfolgs- und Fehlerraten der Updates zu erfassen. Auch Transparenz gegenüber den Nutzern ist wichtig, um sie über anstehende Updates und deren Gründe zu informieren, Vertrauen aufzubauen und Widerstände abzubauen.

Wiederherstellung eines kompromittierten Firmware-Signaturschlüssels

Der oben beschriebene D-Link-Vorfall verdeutlicht den Unterschied zur herkömmlichen Zertifikatssperrung und hilft so, die Wiederherstellung nach einem Sicherheitsvorfall zu durchdenken. Sobald ein Firmware-Signaturschlüssel offengelegt ist, verhindert die Sperrung des Zertifikats zwar, dass neue, schädliche Signaturen auf Systemen, die den Sperrstatus prüfen, validiert werden, führt aber nicht rückwirkend zu einer Vertrauensminderung des Schlüssels auf bereits im Einsatz befindlichen Geräten. Viele dieser Geräte telefonieren ohnehin nie mit dem Server, um den Sperrstatus zu überprüfen. Die Wiederherstellung erfordert die Identifizierung jedes Gerätemodells und jeder Firmware-Version, die mit dem kompromittierten Schlüssel signiert wurde, die Verwendung eines neuen, in einem HSM gespeicherten Schlüssels und die Bereitstellung eines signierten Updates mit dem neuen Schlüssel, das die Geräte verifizieren können. Geräte ohne Netzwerkverbindung oder Update-Mechanismus bleiben dabei unter Umständen dauerhaft gefährdet. Genau deshalb müssen ein Rollback-Schutz und ein dokumentierter Schlüsselrotationsplan vor einem Sicherheitsvorfall vorhanden sein und nicht erst währenddessen entwickelt werden.

Sicherung von IoT-Firmware-Updates – aus der Sicht des Endbenutzers

Unsichere Firmware-Updates für IoT-Geräte könnten schwerwiegende Folgen für die Benutzer dieser Geräte haben, insbesondere weil böswillige Angriffe jeglicher Art aus der Ferne durchgeführt werden können, ohne dass ein physischer Zugriff auf das Gerät erforderlich ist.

Um sich vor unsicheren Firmware-Updates zu schützen, vermeiden Sie automatische Updates, insbesondere in nicht vertrauenswürdigen Netzwerken, und laden Sie Updates ausschließlich von der sicheren Website des Herstellers über HTTPS herunter . Berücksichtigen Sie außerdem bei Ihren Kaufentscheidungen stets den Firmware-Support.

Anwendungen, Standards und Innovationen in der Firmware-Sicherheit aus der Praxis

Branchen, die stark auf das IoT angewiesen sind, wie die Automobilindustrie, das Gesundheitswesen und die Fertigungsindustrie, profitieren bereits von den Vorteilen sicherer OTA-Updates. Im Automobilsektor werden OTA-Updates beispielsweise nicht nur für Infotainmentsysteme, sondern auch für wichtige Sicherheitsfunktionen eingesetzt. Tesla nutzt OTA bekanntermaßen, um alles von Leistungsverbesserungen bis hin zu Fehlerbehebungen bereitzustellen – oft über Nacht.

Im Gesundheitswesen, wo Geräte wie Insulinpumpen und Herzmonitore zunehmend vernetzt sind, können OTA-Updates lebenswichtig sein. Eine Sicherheitslücke in einem medizinischen Gerät stellt nicht nur ein Sicherheitsrisiko dar, sondern auch ein Risiko für die Patientensicherheit. Sichere OTA-Mechanismen sorgen dafür, dass diese Geräte schnell und sicher aktualisiert werden können, ohne dass ein Krankenhausaufenthalt erforderlich ist.

Standards wie das IoT-Cybersicherheitsframework des NIST und ETSI EN 303 645 drängen IoT-Hersteller dazu, sichere Entwicklungsmethoden, strenge Tests und eine robuste OTA-Infrastruktur einzuführen. Der EU-Cyberresilience-Act fügt eine weitere, hier relevante Anforderung hinzu: Hersteller müssen Nachweise, Prüfprotokolle, Signaturaufzeichnungen und dokumentierte Prozesse vorlegen können, die belegen, dass die Integrität von Updates überprüft wurde – und nicht nur behaupten, dies getan zu haben.

Jüngste Forschungsergebnisse schlagen fortschrittliche kryptografische Verfahren vor, um Firmware-Updates vor Lieferkettenangriffen zu schützen. Das NIST finalisierte im August 2024 seine ersten Post-Quanten-Signaturstandards: ML-DSA (FIPS 204, ehemals Dilithium) und SLH-DSA (FIPS 205, ehemals SPHINCS+). Speziell für Firmware sind die zustandsbehafteten Hash-basierten Verfahren LMS und XMSS (NIST SP 800-208) ebenfalls zugelassen und werden von der CNSA 2.0-Suite der NSA für die Signierung von Software und Firmware spezifiziert.

Wie könnte eine Verschlüsselungsberatung helfen?

CodeSign Secure von Encryption Consulting schützt Ihre Software mit einer leistungsstarken, richtlinienbasierten Codesignaturlösung, die die Sicherheit mühelos optimiert. Dazu gehören die HSM-gestützte Schlüsselspeicherung für Firmware-Signaturschlüssel und die vollständige Protokollierung jedes Signierungsereignisses.

Die Beratungsleistungen von Encryption Consulting können Ihrem Unternehmen dabei helfen, einen Datenschutz auf Unternehmensebene mit durchgängigen Verschlüsselungsstrategien zu entdecken, die die Compliance verbessern, blinde Flecken bei Risiken beseitigen und die Sicherheit in Cloud-, On-Premise- und Hybridumgebungen an Ihren Geschäftszielen ausrichten.

Darüber hinaus kann der PQC-Bewertungsservice von Encryption Consulting Ihrem Unternehmen helfen, indem er eine detaillierte Bewertung Ihrer On-Premises-, Cloud- und SaaS-Umgebungen durchführt, Schwachstellen identifiziert und die besten Strategien zur Minderung der Quantenrisiken empfiehlt.

Für weitere Informationen zu unseren Produkten und Dienstleistungen besuchen Sie bitte:

Code Signing-Lösung | Schnelles, einfaches und sicheres Code Signing mit CodeSign Secure

Post-Quantum-Kryptographiedienste | Verschlüsselungsberatung

Verschlüsselungsberatung

Fazit

Firmware ist für die meisten Benutzer zwar unsichtbar, bildet aber das Rückgrat jedes IoT-Geräts. Investitionen in sichere Firmware-Praktiken und robuste OTA-Update-Systeme sind der Schlüssel zum Schutz und zur Minimierung der Risiken, die mit Firmware-Schwachstellen und kryptografischen Angriffen verbunden sind.

Häufig gestellte Fragen

Ist Dilithium dasselbe wie ML-DSA?

Ja. ML-DSA (FIPS 204) ist die vom NIST im August 2024 festgelegte Standardbezeichnung für Dilithium. SLH-DSA (FIPS 205) ist analog dazu die Standardbezeichnung für SPHINCS+.

Wenn ein Firmware-Signaturschlüssel kompromittiert wurde, reicht es dann aus, das Zertifikat zu widerrufen?

Nein. Der Widerruf verhindert zwar die Validierung neuer Signaturen an Orten, an denen Geräte den Widerrufsstatus prüfen, doch die meisten IoT-Geräte führen diese Prüfung nicht in Echtzeit durch. Bereits im Einsatz befindliche Geräte vertrauen daher weiterhin dem alten Schlüssel, bis sie ein Update mit einem neuen Schlüssel erhalten und installieren. Zur Wiederherstellung ist es notwendig, betroffene Geräte zu identifizieren, den Schlüssel zu aktualisieren und ein verifizierbares Update bereitzustellen – nicht nur ein Zertifikat zu widerrufen.

Welche Nachweise erwartet der EU Cyber ​​Resilience Act für die Integrität von Firmware-Updates?

Dokumentierte Prozesse und Prüfprotokolle, Signaturaufzeichnungen, Schlüsselverwaltungsprotokolle und Verifizierungsschritte belegen, dass die Integrität der Aktualisierungen tatsächlich durchgesetzt wurde und nicht nur behauptet wurde. Genau diese Art von Nachweisen soll die Prüfprotokollierung einer zentralen Signaturplattform erbringen.