Computersicherheit fängt für mich mit der Hardware an. Diesen Ansatz zur Optimierung von Sicherheit vermisse ich in vielen Berichten und Diskussionen, wenn es um Schadsoftware, Ransomware, Trojaner und  Spionage geht.

Schadsoftware ist so erfolgreich, weil eine physische Präsenz eines Angreifers meistens nicht erforderlich ist.

Abb. 1: SATA-DOM SSD mit Schreibschutz- und AN/AUS-Schalter

 CC-BY-NC 2.0 Volker Kleipa

Abb. 2: USB3.0 zu mSATA Adapter mit Verlängerung für den Schreibschutzschalter

CC-BY-NC 2.0 Volker Kleipa

Gefühlter Status Quo

Obwohl die Virenscanner immer aktuell sind (technisch 'nie'), ist der bisherige Zustand, den PC gelegentlich zur IT-Abteilung oder privat zu einem Bekannten zu bringen, um das System aufgrund eines Virusbefalls neu aufsetzen zu lassen. Ein reines Entfernen ist zu unsicher, denn ein Anwender kann sich nie sicher sein, ob etwas zurückgeblieben ist oder ob sein Betriebssystem instabil wird.

Bei Reisen ins Ausland nehmen wir unsere Laptops mit. Über den Netzzugang vom Hotel bekommt man dann die „Spezielle Software“ eingeimpft. Wieder heimgekehrt führt dann der erste Weg in die IT-Abteilung, um den Computer dort Entseuchen zu lassen. Das habe ich so schon öfters von Kollegen mitbekommen.

Möchten Sie mit einem ex-befallenen Betriebssystem ihr Internetbanking machen? Da installiere ich doch lieber das betroffene Betriebssystem neu. Das erlebe ich ständig.

Ich ärgere mich dann jedes Mal, wenn zum x-ten Male betont wird: „Dieses Betriebssystem ist sicher“, „Schreibschutzflag setzen“, „Dateien verschlüsseln“ und besonders nervig: „Software immer aktualisiert halten“. Manchmal auch: „Internet Explorer nicht verwenden“ oder „Flash-Player abschalten“. Das klingt wie: „Demontieren Sie die Räder, bevor Sie losfahren.“ Nein, das half mir nicht und ist nicht zuverlässig. Ein Betriebssystem mit Virus wird platt gemacht und neu aufgesetzt. Außerdem sehe ich nicht, dass mit diesen Weisheiten alles gesagt ist und alle wirksamen Möglichkeiten ausgeschöpft werden.

Aus Unkenntnis, mangels Sicherheitsbewusstsein („Was soll mir schon passieren.“), Desensibilisierung („Nicht schon wieder ein Sicherheitsupdate!“) und durch die Trägheit der Softwarehersteller werden bekannte Sicherheitslücken nicht beseitigt. Dann hilft auch kein Zertifizierungs- und Signaturmechanismus, wenn ein Update erst gar nicht gestartet oder bereitgestellt wird. Ein permanent aktiver Zugang für Updates hilft auch nicht wesentlich weiter. Denn bis zum automatischen Update wurden wieder genug Betriebssysteme über diese Lücke angegriffen. Natürlich auch über die noch (offiziell) unbekannten Sicherheitslücken. - Davon ist mit (dieser) Sicherheit jeder mal betroffen.

Von den Stabilitätsproblemen ganz zu schweigen, die ein mangelhaft getestetes Panik-Sicherheitspatch verursacht und das dann auch noch automatisiert eingespielt werden soll. Da mach ich doch lieber kein Update nach dem Motto: „Never change a running system“.

Update Terror

In den Medien wird eine Sicherheitslücke nach der anderen veröffentlicht. Viele Anwender können nicht beurteilen, wann, wie und ob diese Sicherheitslücke für sie von Bedeutung ist.

Natürlich immer, weil viele Autoren auch keinen Plan haben und mit der Aussage: „Sofort Virenscanner und Software aktualisieren!“ sich auf sicheres Terrain begeben möchten. Ich habe den Eindruck, dass den Anwendern ein Ausgeliefertsein, ein „Großes Schultern zucken“ und ein „Mehr ist nicht möglich“, eingeredet wird.

Der Anwender wird im Panikmodus gehalten. Das ist besonders einfach, wenn noch kein Softwareupdate verfügbar ist oder gar nicht ausgeliefert wird. Schutzlos+Ausgeliefert verkauft nicht nur Nachrichten, sondern auch das Schlangenöl Virenscanner besser.

Einen preiswerten Hardwareschreibschutz kann man nur einmal verkaufen und HW-Updates sind nicht erforderlich. Jeder Computernutzer sollte sich bewusst sein, dass „Nach einem SW-Sicherheitsupdate auch zugleich wieder vor einem SW-Sicherheitsupdate ist“. (Das war mein Beitrag zur Panikmache ;-)

Berichte über die bisher selten ausgenutzten Lücken mit BadFirmware und BadBIOS sorgen dafür, dass die Selbstsicherheit der Nutzer nicht zu groß wird und weiterhin neue Sicherheitssoftware gekauft wird. Das eine entsprechende Auswahl oder Entwicklung von Hardware (BIOS-Jumper, OTP-ROM), auch erfolgreich gegen diesen Typ von Schadsoftware sein kann, wird meistens nicht erwähnt. Ein Sicherheitsproblem kann in ein Kostenproblem mit Hilfe von Hardware (Centbeträge) umgewandelt werden und das ist dann durchaus lösbar.

Für die iOS-, Linux- und AndroLux-Anhänger stehen auch schon genug Malware und entsprechende Antivirusprogramme in den Startlöchern. Die Panikmaschinerie hat genug Routine mit Windows gesammelt, um auch die Marktanteile der anderen Betriebssysteme zu melken.

„Meine tägliche Zero Day Exploit Lücke gibt mir Heute …“ usw.

Der verunsicherte Nutzer wird zum Update-Junkie. Und sein Software-Dealer versorgt ihn regelmäßig mit neuer Antivirussoftware.

Produktivitäts- und Spaßbremse: „Der Scheinangriff“

Die Mehrzahl der Anwender setzt sich nicht mit Systemwartung und erforderlichen Updates auseinander. Sie wollen, und das zurecht, an einem stabilen und sauberen System nur ihre Arbeiten ausführen. Mit der Beseitigung von fest eingenisteten Viren sind sie meist überfordert und viel Schadsoftware arbeitet ohnehin still vor sich hin.

Der Nutzer bekommt oft nichts mit, aber er entwickelt Bedrohungsphantasien, die durch die Fehlarme vom Virenscanner noch unterstützt werden.

Ist da etwas? War da etwas? Hat sich etwas eingenistet und ist daher der Computer so langsam? Sicherheitshalber erst mal das Dateisystem aufräumen, ein Update einspielen, die Virenscanner aktualisieren und ein Intensivscan über mehrere Stunden ausführen, notfalls das Betriebssystem neu aufsetzen, ein anderes Betriebssystem wählen ...

Es geht dann überhaupt nicht mehr um die übliche Fehlerbeseitigung in der Software und um neue Programmerweiterungen, also eine Verbesserung in der Produktivität durch ein Update, sondern nur noch um reflexartige Zwangshandlungen gegen die Ungewissheit, an die man seine Zeit und Geld verschwendet.  

„Schreibgehärtet“ - Write Hardened

In einem Live-System findet ein großer Teil der Schadsoftware keinen Angriffspunkt mehr, um sich permanent im Computer fest zu setzten und dass sogar ohne Einsatz von Virenscanner, Firewall und Sicherheitssoftware mit IT-Esoterisch klingenden Bezeichnungen.

Dieser Ansatz hatte mir gefallen, denn eine Systemsoftware ist nun nicht mehr so einfach heimlich manipulierbar. Das hat weitreichende positive Folgen, auch für andere Bereiche im Computersystem. Beispielsweise können die softwarebasierten Zertifizierungs- und Signaturmechanismen für Software, nicht mehr vor einem erforderlichen Systemupdate unbemerkt geschwächt werden.

Einen Hardware-Schreibschutz sehe ich als optionalen Basis zur Verbesserung der Sicherheit an, auch wenn der Anschein in den Texten erweckt wird, das er das „Universelle Mittel“ gegen jede Schadsoftware ist. Die Kombination aus HW- und SW-Techniken machts. Wenn eine Schadsoftware schon vorher mit Virenscanner, einem Betriebssystem oder anderen Sicherheitsmaßnahmen und angepasstem Nutzerverhalten aufgehalten werden kann, dann ist das auf jeden Fall ein zusätzlicher Sicherheitsgewinn.

Ich verwende den Begriff „schreibgehärtet“, wenn Speichermodule mit Hardwareschreibschutz eingesetzt werden.

Eine so abgesicherte Systemsoftware sehe ich im „Internet der Dinge“ als notwendig an. Meine elektrische Zahnbürste wird nicht zur Spamschleuder und außerdem habe ich nicht die geringste Motivation unser Bügeleisen ständig mit Virenscanner-Updates zu versorgen. Unser neuer Smartfernseher bietet im Menü einen Virenschutz für externe Medien an - es geht also schon los.

Werden im Hardwaredesign die Anforderungen von schreibgeschützten Live-Systemen mehr berücksichtigt (BIOS-Jumper) erwarte ich auch, dass ein Einnisten von Schadsoftware in Smartphones und Tablets erschwert wird. Für einen DAU oder einem Administrator kann der Schreibschutz-Jumper ja ungesetzt bleiben. Ein (online) Softwareupdate ist dann wie bisher möglich.

Die Industrie hat eine Lösung mit den WP-Schaltern an den SATA-DOM-Bausteinen gefunden. Leider hat sie den Hardwareschreibschutz am BIOS-FLASH und andere Komponenten mit Firmware vernachlässigt. Das rächt sich jetzt als heimliches Einfallstor für Schadsoftware insbesondere auch für den Consumer-Markt.

Live-Systeme sind bisher nur etwas für Sicherheitsfanatiker, Paranoiker und allzu kritische Journalisten, die alle eine hohe Frustrationstoleranz mitbringen müssen. Mit dem Einsatz von schnellen und schreibgesicherten SATA-DOMs, werden meiner Ansicht nach für viele Computernutzer handhabbare und komfortable Live-Betriebssysteme verfügbar.

Der Anwender erhält eine zusätzliche Systemsicherheit und das nicht nur „gefühlt“, wie mit einem Virenscanner. Er hat nun die Wahl, ob er als Update-Junkie an Systemen mit reduzierter Performance seine Zeit verschwendet, angeblich sicheren Betriebssystemen blind vertraut oder bei Bedarf mal einen Schalter betätigt.

Kein Anwender ist perfekt, also kennt alle Sicherheitshinweise und befolgt diese immer. Selbst wenn dies so wäre, setzt ihm das offizielle Wissen Grenzen. Er ist durch die Zeitverzögerung bis zu einem Sicherheits-Update oder einem Handlungshinweis immer im Nachteil. Gegen die beispielsweise immer besser werdenden Phishing-Mails, Malvertising und unbekannte bzw. zukünftige Sicherheitslücken hilft auch kein Appell das Brain1.0 mal einzuschalten.

Ich suche nach praktikablen Erweiterungen, Vorschlägen und neuen Ansätzen für Computer mit schreibgehärteten Live-Systemen und möchte andere Entwickler motivieren, weitere Ideen und Anwendungsmöglichkeiten beizutragen. 

Für mich habe ich einfache Verbesserungen gefunden, um den Schaden am Computer zu reduzieren, der durch fehlerhafte Software, Wissenslücken, Bequemlichkeit und Unaufmerksamkeit herausgefordert wird.

Volker