TPM-FAIL gefährdet Trusted Platform Module

[English]Eine neue entdeckte Schwachstelle ermöglicht es, ECDSA-Signaturschlüssel per Timing-Angriff aus dem vermeintlich gesicherten Speicherbereich von TPM-Chips (Intel fTPM 2.0, STMicroelectronics ST33-TPM) zu stehlen.

Das Ganze wurde vor einigen Stunden bekannt. Sicherheitsforscher weisen Schwachstellen in zertifizierten Trusted Platform Modules (TPMs) von Intel und STMicroelectronics nach.

Sicherheitsforscher weisen bedenkliche Schwachstellen in zertifizierten Trusted Platform Modules (TPMs) von Intel und STMicroelectronics nach. Der Angriff TPM-Fail kratzt am grundsätzlichen TPM-Konzept, schreibt https://t.co/23UtEwVY3T https://t.co/5SoTUlnUAC? ^US

— Trend Micro Deutschland (@TrendMicroDE) November 14, 2019

Konkret haben Sicherheitsforscher gleich zwei neue Schwachstellen (in unterschiedlichen TPM-Lösungen) entdeckt, die als TPM-FAIL veröffentlicht wurden. Die Schwachstellen existieren im zertifizierten Intel firmwarebasiertem TPM (fTPM) und in den zertifizierten TPM-Chips von STMicroelectronics. Hackern können die Schwachstellen verwenden, um kryptografische Schlüssel, die auf diesen TPM-Chips in vermeintlich gesicherten Speicherbereichen abgelegt sind, zu stehlen.

TPM im Überblick

Das Trusted Platform Module (TPM) ist eine Lösung, die hochsensible Daten wie Sicherheitsschlüssel nach der TCG-Spezifikation sicher speichern soll. TPM wird von Intel und Microsoft als Vertrauensbasis für das Betriebssystem eines Geräts propagiert. Denn TPM soll Sicherheitsschlüssel vor Bedrohungen wie Malware und Rootkits schützen. Die meisten Notebooks besitzen heute ein TPM-Modul, welches von Windows zum sicheren Speichern von Schlüsseln – u.a. Bitlocker-Schlüssel – verwendet werden kann.

TPM kann auch eine firmwarebasierte Lösung (fTPM) sein, die auf separaten 32-Bit-Mikrocontrollern innerhalb einer CPU laufen. Das ist bei Intel-Prozessoren ab der Haswell-Generation (2013) der Fall.

TPM-FAIL demonstriert

Sicherheitsforscher haben nun Timing-Lecks auf Intel Firmware-basiertem TPM (fTPM) sowie auf dem TPM-Chip von STMicroelectronics entdeckt. Das Problem: Die Lösungen weisen Ausführungszeiten bei der Erzeugung kryptographischer Signaturen auf, die von den Schlüsseln abhängen.

Eigentlich sollen die Schlüssel sicher in der TPM-Hardware abgelegt sein. Den Sicherheitsforschern ist es aber gelungen, private Schlüssel aus digitalen Signaturschemata, basierend auf elliptischen Kurven, wiederherzustellen.

Auf der Webseite TPM-FAIL legen die Sicherheitsforscher die Erkenntnisse zu den entdeckten Schwachstellen und Angriffsszenarien offen. Ein Angreifer kann diese Schwachstellen nutzen, um private Signaturschlüssel, der für die Signaturgenerierung verwendet werden, zu stehen. Kompromittierte Signaturschlüssel lassen sich zum Fälschen von Signaturen verwenden. Dies kann genutzt werden, um eine Authentifizierung zu umgehen, das Betriebssystem zu manipulieren etc.

Praktische Auswirkungen

Betroffen von der Schwachstelle dürften alle Desktop-, Laptop- und Server-Workstations verschiedener Hersteller wie Dell, Lenovo, HP usw. sein, wenn diese eines dieser betroffenen TPM-Produkte verwenden. Hier gilt es ggf. beim OEM nachzufragen, ob deren Systeme von TPM-FAIL betroffen sind.

Ergänzung: Microsoft hat den Sicherheitshinweis ADV190024 zum 13. 1. 2019 veröffentlicht. Laut Microsoft wird der wichtigen Vertraulichkeitsschutz für einen bestimmten Algorithmus (ECDSA) geschwächt. Microsoft schreibt, dass es sich um eine TPM-Firmware-Schwachstelle handelt und nicht um eine Schwachstelle im Windows-Betriebssystem oder einer bestimmten Anwendung. Derzeit verwenden keine Windows-Systeme den verwundbaren Algorithmus. Bitlocker sollte also nicht betroffen sein – allerdings kann Drittsoftware eventuell ECDSA verwenden.

Der Fall zeigt, dass die ganzen tollen Mechanismen, die Intel, Microsoft und Co. zur Verbesserung der Sicherheit propagieren, schlicht nicht das halten können, was sie versprechen (aber immer wieder für Ärger gut sind). Im Hinblick auf die praktische Ausnutzbarkeit schreiben die Sicherheitsforscher, dass ein Angreifer, der ein Schadprogramm lokal ausführen lässt, den ECDSA-Schlüssel von Intel fTPM in 4-20 Minuten wiederherstellen kann (hängt von der Zugriffsebene ab). Die Forscher konnten sogar zeigen, dass diese Angriffe aus der Ferne in schnellen Netzwerken durchgeführt werden können, indem der Authentifizierungsschlüssel eines Virtual Private Network (VPN)-Servers in 5 Stunden wiederhergestellt wird.

Intel hat seine fTPM-Firmware aktualisiert, um die gemeldeten Schwachstellen zu beheben. Im heise-Artikel findet sich aber die Information, dass immer noch Firmware-Updates fehlen, obwohl die Schwachstellen vor einiger Zeit entdeckt wurden. Bei Chip-basierten Lösungen wird es noch schwieriger. STMicroelectronics hat einen neuen TPM-Chip herausgegeben, er resistent gegen TPM-FAIL ist. Das nutzt aber bei bestehenden Systemen nichts, wo ein TPM-Chip mit der betreffenden Schwachstelle verlötet ist.

Diverse Medien wie heise, Golem oder auch Bleeping Computer befassen sich mit dem Thema. Dort sowie auf der Webseite TPM-FAIL können ggf. weitere Informationen nachgelesen werden.

Ähnliche Artikel:
Windows 10 V1903 Bitlocker-Problem: TPM löst Fehler 10 aus
Microsoft Intune 1905: TPM-Chip verpflichtend für Win 10?
Windows: Angriff auf Bitlocker per TPM
Surface Pro 3: Schwachstelle im TPM-Chip, updaten!
Intel legt Code für die TPM2-Unterstützung offen
Sicherheit: Angriff auf TPM und Intel ME-Dump
Surface Pro 2 will nicht existentes TPM-Firmware-Update
Undokumentiertes Surface Pro 3 TPM Update
Windows 10 Build 15019: TPM und PIN fehlen auf Surface Pro 3
Sicherheitsupdates für Intel UEFI-BIOS, Intel ME und Windows-/Linux-Treiber
Sicherheitslücke in Intels NVMe- und RSTe-Treiberpaket