Der CAST e.V., mit Sitz beim Fraunhofer SIT in Darmstadt, bietet vielfältige Dienstleistungen im Bereich der Sicherheit moderner Informationstechnologien und ist Ansprechpartner für IT-Sicherheitsfragen. Sein Kompetenznetzwerk vermittelt seit 2004 auf allen Ausbildungsebenen Wissen über IT-Sicherheitstechnologien. Der CAST-Verein besteht aus über 200 Mitgliedern und führt regelmäßig Workshops durch. So auch am 21. Mai, als das Thema „Mobile und Embedded Security“ auf der Tagesordnung stand. Die DECOIT GmbH war eingeladen, um über ihre aktuellen Arbeiten der Embedded Security im Smart-Meter-Umfeld zu referieren.

Die Bedeutung der IT-Sicherheit und der Bedarf an Privatsphärenschutz haben nicht zuletzt durch Berichte über Wirtschaftsspionage, Identitätsdiebstahl sowie Aktivitäten ausländischer Geheimdienste zugenommen. Dabei erweisen sich u.a. mobile Technologien und Endgeräte als Einfallstor für solchen Aktivitäten. Dieser CAST-Workshop diente zum Austausch zwischen Experten und Interessierten über relevante Forschungs- und Anwendungsthemen sowie Lösungen für „Mobile und Embedded Security“.

Neue Lösung für verbesserte Smartphone-Sicherheit

Die Firma IDENTOS GmbH machte den Auftakt, indem die Nutzung von Smartphones in Business-Anwendungen präsentiert wurde, da diese Nutzung stark zunimmt, obwohl die Sicherheitsstandards für diese Geräte bisher nicht als ausreichend bezeichnet werden können. So setzen heute namhafte Unternehmen auf das Smartphone in Business-Applikationen, ohne zusätzliche Sicherheitsvorkehrungen. Zusammen mit Fraunhofer SIT wurde eine gemeinsame Lösung entwickelt, die den TPM-Chip in einem zusätzlichen Smartcard-Lesegerät nutzt, welches mit dem Smartphone kombiniert wird. So kann das mobile Smartphone optimal für die mobile Patientenversorgung eingesetzt werden. Dafür ist eine Ende-zu-Ende-Verschlüsselung in jedem Fall notwendig.

Identitätsdiebstahl wird immer häufiger

Die Pretioso GmbH stellte mit dem Thema „Identity Theft“ eine neue Herausforderung für „Mobile Security“ vor. Heutzutage ist der Identitätsdiebstahl ein großes Problem und stellt eine signifikante Bedrohung dar. Hierbei werden persönliche Stammdaten versucht auszunutzen. Über ungesicherte WLAN-/Bluetooth-/NFC-/RFID-Verbindungen versuchen Hacker diese Daten zu bekommen. In den USA wurden u.a. PayPal und eBay so erfolgreich angegriffen. Im Jahr 2014 wurden 761 Fälle mit 83 Mio. Datensätzen in den USA aktenkundig. In 2015 wurde dieses Ergebnis bereits jetzt übertroffen! Zum Schutz sollte man möglichst Funktionen abschalten, die nicht benötigt werden. Dies wird allerdings immer schwerer, da bestimmte Dienste Always-On-Mechanismen nutzen. Daher wird heute in den USA bereits ein Identitätsmonitoring betrieben.

DECOIT präsentiert Embedded Security bei Smart Meter Gateways (SMGW)

Die DECOIT GmbH stellte in ihrem Vortrag die Embedded Security bei Smart Meter Gateways (SMGW) vor. Dabei wurden das SPIDER-Projekt und die TNC-Integration der Trusted Computing Group (TCG) für diese Umgebung präsentiert. Dadurch wird es möglich, dass ein Remote-Administrator aus der Ferne feststellen kann, ob ein SMGW angegriffen wurde oder nicht. Zusätzlich würde ein TPM-Chip die Integritätssicherheit des SMGW entsprechend erhöhen. Allerdings lässt der aktuelle TPM-Standard es nicht zu, dass man diesen ohne ein entsprechendes Sicherheitsmodul einsetzt, da keine elliptischen Kurven verwendet werden. Daher müsste man zwei Chips nutzen, was kosten- und platztechnisch ein Problem darstellt. Es ist abzuwarten, ob der TPM2.0-Standard Abhilfe schaffen wird. Im SPIDER-Projekt wurde deswegen der TNC-Ansatz in Software umgesetzt, ohne einen weiteren Chip zu verwenden. Dies hat zwar nicht den gleichen Sicherheitsgrad zur Folge, aber immerhin eine Erhöhung der bisher vorgesehen BSI-Richtlinien.

Googles Weg in den Markt der Enterprise-Smartphone-Anwendungen - sicher?

Das Siemens CERT stellte im Anschluss ihre Untersuchungen zur neuen Enterprise-Anwendung „Android for Work“ vor. Hierdurch versucht Google im Enterprise-Markt Fuß zu fassen. Die Anwendung trennt geschäftliche und private Apps voneinander und schützt persönliche Daten durch ein eigenes Arbeitsprofil. Als Basis muss Android 5.0 Lollipop vorhanden sein. Android for Work arbeitet demnach wie ein MDM-System. Es besitzt eine sehr gute Oberfläche, die Policy ist detailliert genug, um die meisten Anforderungen abzudecken, es wird ein einheitliches Management ermöglicht und der Schutz der Firmendaten gegen Abfluss durch „unsaubere“ Apps wird ermöglicht. Dafür wurde die API entsprechend „aufgebohrt“. Allerdings verwendet Android zum Separieren der Arbeitsdaten nur eine andere User-ID. Das heißt, es wird keine separate Verschlüsselung für die Arbeitsdaten vorgenommen. Hat der Angreifer Root-Rechte, gibt es auch keinen abgesicherten Bereich mehr. Android for Work ist zwar nicht in der Lage alle Sicherheitsvorfälle zu verhindern. Im Vergleich mit anderen MDM-Lösungen (z.B. Mobile Spaces, Mobile Iron, AirWatch) kann Android for Work trotzdem durchaus mithalten, da auch andere MDM-Systeme Angriffspotenziale bieten.

Forschungsprojekt PRESERVE für die Sicherheit vernetzter Fahrzeuge

Auch die Sicherheitsanforderung vernetzter Fahrzeuge ist ein interessantes Thema, über das vom Fraunhofer SIT berichtet wurde. Hier ergeben sich technische Anforderungen, wie keine vorhandene Sichtverbindung, erforderliche hohe Genauigkeit der GPS-Daten, niedrige Latenzzeiten, viele Netzknoten und ein hohes Datenaufkommen. Dabei werden natürlich höchste Anforderungen an die Verkehrssicherheit gestellt. Allerdings bedrohen aktive Angreifer die Zuverlässigkeit, während passive Angreifer Datenschutz- und Privatsphärenschutz bedrohen. Als Schutzmaßnahmen lassen sich ausmachen: ID Management, Privatsphärenschutz und Fehlverhaltenserkennung. Das EU-Projekt PRESERVE setzt diese Schutzmaßnahmen um. Es ermöglicht Feldtests und Pilotanwendungen zur Einführung. Erste positive Ergebnisse liegen bereits vor.

Kritischer Blick auf Trusted Computing (TC)

Die Hochschule für Technik Berlin trat hingegen kontrovers auf und sah Trusted Computing (TC) als Problemfall. Dies liegt u.a. daran, dass der Nutzer bei Windows 8/10 keine Kontrolle über seine eigene Hardware und Software besitzt. Zwar ist es wünschenswert ein Root of Trust zu haben; nur sollte unterschieden werden, in welchem Szenario. Hinzu kommt, dass das Einbetten von TC in sicherheitskritischen Umgebungen nicht unproblematisch ist. Auch gibt es zu viele handwerkliche Fehler von Microsoft, wodurch TC-Implementierungen fehlerhaft sein können. In der Praxis wird sogar die gebrochene Hashfunktionen SHA1 weiter verwendet, weil eine Umsetzung auf SHA2 zu kostspielig wäre (Beispiel: Energieversorger, Automobilhersteller). Das heißt, die kryptografischen Schwächen sind schon seit vielen Jahren praktisch nutzbar. Nur ein eigenständiger zertifizierter TPM-Chip ist daher aus Sicherheitsgründen zu empfehlen. Als Forderungen an die Spezifikationen des Trusted Computings wurde daher genannt: Möglichkeit zur eigenen Entscheidung der Aktivierung/Deaktivierung, implementierte zeitgemäße und datenschutzfreundliche Verschlüsselung, internationale Kontrolle und Zertifizierung des TPM-Herstellungsprozesses, Offenlegung und Zertifizierung des TC bei relevanten Windows 8/10-Quellcodes sowie kartellrechtliche Prüfung einer Microsoft-Entflechtung. Davon ist die Spezifikation bisher jedenfalls ein gutes Stück entfernt.

Der CAST-Workshop bot einen interessanten Querschnitt über verschiedene Sicherheitsthemen. Die DECOIT GmbH konnte dabei ihre eigenen Arbeiten aus dem Forschungsprojekt SPIDER beitragen. Durch die enge Kooperation mit Fraunhofer SIT, bei dem der CAST-Workshop stattfand, werden in diesem Umfeld weitere Projekte angestrebt, um auch zukünftig innovative Lösungen zu entwickeln.