Der Schutz Ihrer Online-Umgebung ist heutzutage wichtiger denn je. COVID-19 hat viele Unternehmen dazu veranlasst, die Sicherung ihrer Netzwerke und IoT-Geräte (Internet of Things) zu überdenken. Um IoT-Geräte und PCs in Ihrem Netzwerk zu schützen, können Sie mit Secure Boot beginnen. Ähnlich wie beim Codesignaturprozess überprüft Secure Boot, ob die von der Boot-Hardware und der Betriebssystemsoftware verwendeten Signaturen und Schlüssel gültig und unverfälscht sind.
Was genau ist Secure Boot?
Secure Boot funktioniert durch die Authentifizierung des vom Betriebssystem verwendeten Codes und der Boot-Images gegenüber der Hardware, bevor das System hochgefahren werden kann. Der Grund hierfür liegt darin, dass die Hardware für die Authentifizierung von Code mit vertrauenswürdigen Anmeldeinformationen vorkonfiguriert ist. Dadurch wird sichergestellt, dass Images und Code nicht von Angreifern manipuliert oder verändert wurden, die versuchen, Ihr Netzwerk oder Ihre Geräte mit Malware zu infizieren. Daher ist die Aktivierung von Secure Boot auf Geräten im Netzwerk wichtig, da es viele gängige Malware-Angriffe verhindert.
Bei böswilligen Bedrohungsakteuren verändern viele Malware-Angriffe den Betriebssystemcode oder installieren einen neuen Bootloader. Beim Neustart des Systems wird die Malware gestartet und verbreitet sich auf dem Gerät. Durch die Aktivierung von Secure Boot wird dies verhindert, da der Bootloader keinen gültigen Schlüssel und keine Signatur besitzt, die mit der Hardware übereinstimmen. Dadurch stoppt Secure Boot den Startvorgang. Sollte Malware eindringen, ohne Secure Boot aktiviert zu haben, könnte dies für ein Unternehmen massive Folgen haben, beispielsweise den Verlust von Millionen von Dollar oder wichtigen Informationen, die es sonst nicht öffentlich machen möchte.
Wie funktioniert Secure Boot?
Der Prozess hinter Secure Boot ist nicht so kompliziert, wie Sie vielleicht denken. Wenn ein Gerät mit aktiviertem Secure Boot eingeschaltet wird, überprüft der CPU-interne Bootloader zunächst die Authentizität des Bootloaders. Dies geschieht durch den Vergleich der vom privaten Schlüssel des Herstellers generierten Signatur mit dem im Gerät eingebetteten öffentlichen Schlüssel. Bei der Arbeit mit Codesignatur und Secure Boot, ein asymmetrische Verschlüsselung Der Prozess dient der Validierung der Hersteller- und Softwareauthentizität.
Bei der asymmetrischen Verschlüsselung werden zunächst zwei mathematisch verknüpfte Schlüssel generiert: ein öffentlicher und ein privater Schlüssel. Der private Schlüssel bleibt geheim und ist nur dem Ersteller bekannt, der öffentliche Schlüssel hingegen jedem. Da diese Schlüssel mathematisch verknüpft sind, kann eine Software mit dem privaten Schlüssel signiert und diese Signatur mit dem öffentlichen Schlüssel verifiziert werden. Dies zeigt, dass die betreffende Software vom Schlüsselinhaber erstellt und nicht manipuliert wurde.
Der nächste Schritt im Secure Boot-Prozess ist die Überprüfung der Authentizität des Betriebssystems und aller beim Booten gestarteten Anwendungen. Mit dem gleichen Verfahren wie im ersten Schritt wird der eingebettete öffentliche Schlüssel verwendet, um die Gültigkeit des Betriebssystems und der Anwendungen zu überprüfen. Sobald alle Teile des Boot-Prozesses auf Authentizität überprüft wurden, kann das Gerät normal gestartet und ausgeführt werden. Sollte sich in einem Schritt dieses Prozesses herausstellen, dass das Betriebssystem, der Bootloader oder eine Anwendung nicht mit dem eingebetteten öffentlichen Schlüssel übereinstimmt, wird der Boot-Prozess abgebrochen und es werden Abhilfemaßnahmen ergriffen.
Hindernisse für den sicheren Start
Da Secure Boot einen Prozess verwendet, der dem Code Signing sehr ähnlich ist, stehen beide vor ähnlichen Problemen. Das dringlichste Problem ist der Schutz der asymmetrischen Signaturschlüssel, die im Secure Boot-Prozess verwendet werden. Ich habe bereits erwähnt, dass beim Secure Boot-Prozess der öffentliche Schlüssel des öffentlichen/privaten Schlüsselpaars in die Software eingebettet ist. Damit meine ich, dass es ein Zertifikat gibt, das mithilfe dieses öffentlichen Schlüssels generiert wurde. Dies digitales Zertifikat, ähnlich wie ein Code-Signing-Zertifikat, enthält die Informationen des öffentlichen Schlüssels und ist mit dem privaten Schlüssel signiert. Dadurch ist der Abgleich der Schlüsselinformationen zwischen öffentlichem und privatem Schlüssel möglich. Der Schutz dieser Schlüssel ist für viele Organisationen das erste große Problem.
Wird der private Schlüssel zum Signieren des digitalen Zertifikats von einem böswilligen Angreifer kompromittiert, kann dieser das Zertifikat nutzen, um Bootloader oder Betriebssystemcode erfolgreich durch den Secure Boot-Prozess zu leiten und so Benutzer mit Schadsoftware zu infizieren. Der Schutz dieser Schlüssel kann durch hardware- oder softwarebasierte Schlüsselspeichermethoden gewährleistet werden.
Softwarebasierte Speicherung ist nicht die sicherste Methode zum Schutz von Verschlüsselungsschlüsseln, da die Schlüssel immer noch aus der Speichermethode entnommen werden können. Hardwarebasierte Schlüsselspeichermethoden, wie Hardware-Sicherheitsmodule, schützen Schlüssel im Vergleich zu softwarebasierten Schlüsselspeichermethoden deutlich besser. Hardware-Sicherheitsmodule, oder HSMs, sind manipulationssicher und manipulationssicher und schützen Verschlüsselungsschlüssel daher viel zuverlässiger.
Neben Secure Boot bieten sich auch strenge Verschlüsselungsrichtlinien in Ihrem Unternehmen an. Diese Richtlinien sorgen für einheitliche Richtlinien im gesamten Unternehmen und ermöglichen es den verschiedenen Teams, ähnliche Schutzmaßnahmen zu ergreifen. Darüber hinaus bieten die Implementierung von Intruder Protection Systems (IPS) und Intruder Detection Systems (IDS), die Sicherung Ihres Codes an der Quelle und die Beauftragung von Unternehmen wie Encryption Consulting zur Identifizierung von Sicherheitslücken weitere Möglichkeiten zum Datenschutz in Ihrem Unternehmen.
Fazit
Die Aktivierung von Secure Boot auf allen Geräten in Ihrem Unternehmen ist eine hervorragende Möglichkeit, Ihr Netzwerk vor böswilligen Angreifern zu schützen. Secure Boot bietet eine integrierte Methode zur Überprüfung Ihres Betriebssystems und Bootloaders auf Schadcode und sorgt so für ein sicheres Gefühl auf Ihrem Gerät. Andere Methoden, wie die Einrichtung von IPS und IDS oder die Beauftragung eines Drittanbieters zur Bewertung Ihrer Sicherheitspläne, können Hand in Hand mit Secure Boot arbeiten, um Ihnen die bestmöglichen Sicherheitssysteme für Ihr Heim- oder Unternehmensnetzwerk zu bieten. Weitere Informationen zur Unterstützung durch Encryption Consulting finden Sie unter www.encryptionconsulting.com.
