Die Firmware ist ein wichtiger Bestandteil der heutigen eingebetteten Elektronik. Ihre Authentizität und Integrität stellt einen Schlüsselfaktor dar, der die Betriebs- und Angriffssicherheit eingebetteter Systeme gewährleistet, z. B. bei intelligenten x-IoT-Produkten, die mit dem Internet verbunden werden. Obwohl Firmware-Updates die Funktionalität von Produkten auf einem Gebiet verbessern sollen, stellen sie auch den idealen Mechanismus für Angreifer dar, um ein Produkt zu hacken. Dies haben Sicherheitsforscher im Jahr 2015 demonstriert: Sie waren in der Lage, Lenkrad und Bremsen eines SUV fernzusteuern. Obwohl die originale Firmware des Fahrzeugs einen solchen Zugriff nicht erlaubt hatte, konnten die Angreifer problemlos ihre eigene, bösartige Firmware laden und erhielten so vollständigen Zugriff auf das Fahrzeug.
Aus diesem Grund hat TÜViT einen neuen Ansatz entwickelt, der es ermöglicht, den isolierten Firmware-Updater unabhängig von der eigentlichen lösungsspezifischen Firmware zu prüfen und zu zertifizieren. Denn der Update-Mechanismus kann für jedes eingebettete Produkt zur Hauptangriffsfläche werden, wenn er nicht sorgfältig entworfen und implementiert wird.
Bestehende Zertifizierungsprogramme berücksichtigen stets die gesamte Sicherheit der produkt- oder branchenspezifischen Funktionalitäten der Komponente oder des Systems und fügen als Voraussetzung schließlich einen (sicheren) Firmware-Uploader als Teil der Zertifizierung hinzu. Dadurch wird es für Hersteller von Universalchips schwierig, ihr Produkt zertifizieren zu lassen: Während der Chipentwicklung und sogar während der Produktion ist der tatsächliche Anwendungsfall (und die entsprechende Firmware) oftmals noch nicht vollständig bekannt, doch die Chips werden für den zukünftigen Verkauf auf Vorrat hergestellt. Um die Initialisierung solcher Chips zu einem späteren Zeitpunkt zu ermöglichen, muss jedoch zumindest ein grundlegender Firmware-Updater ab Werk enthalten sein. Dieser Firmware-Updater kann nun von TÜViT geprüft und zertifiziert werden.
Um die Aspekte im Hinblick auf Markteinführungszeit und Kosten zu erfüllen, setzt der neue Evaluierungsservice von TÜViT auf ein zeitgesteuertes Evaluierungskonzept. Drei verschiedene Sicherheitsstufen (niedrig, erheblich, hoch) spiegeln das unterschiedliche Angriffspotenzial durch verschiedene Zeitspannen wider. Zusätzlich zu einigen Pflichtanforderungen kann die Evaluierung durch die Auswahl optionaler Anforderungen, z. B. Verschlüsselung von Updates oder Verwendung von sicheren Post-Quantum-Algorithmen, erweitert werden. Einzigartig am Konzept von TÜViT ist das (optionale) Hinzufügen einer Fehlerbehandlungsroutine für fehlgeschlagene Updates: Während das Abschalten bei Standard-Sicherheitshardware (z. B. Kreditkartenchips) eine sinnvolle Option darstellt, müssen eingebettete Systeme, die sicherheitskritische Funktionen steuern, möglicherweise mit eingeschränkter Funktionalität weiterarbeiten. Beispielsweise sollte weder ein Automobilsteuergerät noch ein (intelligenter) Rauchmelder aufgrund eines fehlgeschlagenen Updates aufhören zu funktionieren. Stattdessen sollte das Gerät in einen Notfunktionsmodus wechseln oder auf die zuvor verwendete Firmware zurückgreifen.
TÜViT bietet ab sofort die Prüfung und Zertifizierung von Firmware-Update-Loadern nach diesem neuen Ansatz an.
Über TÜVIT
Die TÜV Informationstechnik GmbH (TÜVIT) steht für Sicherheit in der Informationstechnik. Mit Auditierungen und Evaluierungen begleiten wir Kund:innen bis zur erfolgreichen Zertifizierung. Als unabhängiger Prüfdienstleister ist TÜVIT ein verlässlicher Wegbereiter für IT-Sicherheit in zahlreichen Unternehmen und Organisationen der Wirtschaft und öffentlichen Hand. Unser Fokus: Ganzheitliche Cyber-Resilienz und IT-Sicherheit in der Lieferkette. Dafür sind wir in technologisch führenden Regionen rund um den Globus akkreditiert. Zu unseren Kompetenzfeldern zählen branchenübergreifend Sicherheitsprüfungen von Hard- und Softwarekomponenten, Embedded Systems, ITK-Netzwerken und -komponenten sowie Applikationen, zudem Audits für ISMS und Datenschutzmanagement.
1995 gegründet, gehört TÜV Informationstechnik GmbH mit Hauptsitz in Essen zur Business Unit Digital & Semiconductor, einer der sechs weltweit aufgestellten Business Units innerhalb der TÜV NORD GROUP. TÜV NORD GROUP agiert mit über 14.000 Mitarbeitenden und Geschäftsaktivitäten in 100 Ländern als einer der weltweit größten Technologie-Dienstleister.
Presse-Kontakt