Viren, Spyware, Datenschutz 11.241 Themen, 94.650 Beiträge

News: BadUSB-Risiko ausgeweitet

USB-Geräte: mehr als die Hälfte können missbraucht werden

Michael Nickles / 45 Antworten / Flachansicht Nickles
Hier wird verdeutlicht, dass nur ein kleiner Teil von USB-Sticks für Anwender sichtbar ist, die Controller-Elektronik und ihr Betriebssystem (Firmware) sind verborgen. (Foto: Security Research Labs)

Anfang August kam raus, dass USB-Sticks sich durch Manipulation ihrer Firmware von jederman in gefährliche Spionagewerkzeuge verwandeln lassen.

Die deutschen Sicherheitsforscher Karsten Nohl und Jakob Lell von Security Research Labs demonstrierten die Gefahr zunächst bei USB-Sticks mit Phison 2251-03 Controller.

Anfang Oktober machten zwei Sicherheitsexperten den USB-Geräte-Herstellern Druck, indem sie eine konkrete Bauanleitung veröffentlichten, wie USB-Sticks umprogrammiert und für beliebige Zwecke missbraucht werden. Ob ein USB-Stick mit der "BadUSB" getauften Methode manipuliert ist, lässt sich nicht feststellen.

Die einzige Chance besteht lediglich darin, einen eventuell verbauten Phison 2251-Controller zu indentifizieren und betroffene Sticks dann nicht mehr zu verwenden (siehe Tipp USB-Trojaner-Risiko - Phison 2251-03 Controller identifizieren).

Jetzt gibt es leider erwartungsgemäß neue Horrormeldungen von den Entdeckern des BadUSB-Sicherheitsproblems: über 50 Prozent aller auf dem Markt befindlichen USB-Geräte gelten nun als manipulierbar.

Die Rede ist wohlgemerkt von USB-Geräten, nicht nur von USB-Speichersticks. Dies war bereits zu vermuten, weil in jedem USB-Gerät ein programmierbarer Controller-Chip steckt. Ganz klar festzustellen ist, dass es sich um kein spezielles Sicherheitsproblem des Herstellers Phison handelt.

Karsten Nohl und sein Team haben USB-Controller-Chips von zig verschiedenen Herstellern (darunter Alcor, Asmedia, Cypress, FTDI, Genesys Logic, Microchip, Phison, Renesas) untersucht und Anfälligkeit für "BadUSB"-Manipulation entdeckt.

Eine Zusammenfassung der Untersuchung und Details zu BadUSB gibt es hier: BadUSB Exposure. Interessant ist vor allem die Dokumentation der Problematik (PDF). Auf Seite 22 wird dort unter anderem beschrieben, dass es wohl nicht nur reicht einen Controller zu identifizeren, es auch auf kleine Details ankommt.

Gezeigt werden zwei USB-Hubs, die beide mit dem gleichen Controller-Baustein bestückt sind. Riskant ist allerdings nur der Hub, der zusätzlich über einen SPI-Flash-Baustein verfügt. Somit wird es erst recht schwer, potentiell riskante USB-Geräte treffsicher zu entlarven.

Aktuell bleibt eigentlich nur einen Blick in die Auflistungen auf der BadUSB-Webpräsenz zu werfen. In der Kategorie "Webcams" sind aktuell zwei untersuchte Kameras gelistet. Eine billige Speedlink-Kamera wurde als "höchstwahrscheinlich unbedenklich" bewertet, ein Modell von Creative Labs als "höchstwahrscheinlich missbrauchbar".

Michael Nickles meint:

Jetzt haben wir den Salat: Fifty fifty. In sehr sicherheitssensiblen Arbeitsumgebungen bleibt aktuell nur sämtliche USB-Sticks und USB-Geräte wegzuschmeißen.

Alternativ wäre es denkbar, dass ALLE Hersteller dieser Geräte ehrlich und aufrichtig sind, Listen über ihre Modelle veröffentlichen, ob sie betroffen sind. Andererseits wird es natürlich das Geschäft ankurbeln wenn demnächst zig neue USB-Geräte auf den Markt kommen, die mit einem "Unbedenklichkeits-Siegel" versehen werden.

Unbedenklich können aber nur Geräte sein, die ausdrücklich über keine Möglichkeit der Umprogrammierbarkeit verfügen. Die Elektronik muss also quasi "fest verdrahtet" sein, es darf keinen "Speicher" für Firmware geben. Das bedeutet dann aber, dass bei Problemen nur noch begrenzt nachgebessert werden kann. Wie man es also dreht, ist es Mist.

bei Antwort benachrichtigen
mawe2 Olaf19 „Du meinst wahrscheinlich BTX...? Und auch damals schon war ...“
Optionen
Du meinst wahrscheinlich BTX...?

Erst hieß es "BTX", als ich dort eingestiegen bin, hieß es "Datex-J", später wurde daraus "T-Online" (dann auch mit einem Internet-Gateway).

Und auch damals schon war Datensicherheit ein Thema

Ich habe es aber nicht 1984 genutzt sondern erst zehn Jahre später.

Auch dass du zu unterschiedlichen Uhrzeiten unterschiedliche Tarife hattest, kann sich heute kein Mensch mehr vorstellen.

Ich frage mich auch gerade, wie lange das noch so war? Ab wann waren die normalen Telefontarife bundesweit und tagesübergreifend einheitlich?

Dass man für ein Ortsgespräch weniger bezahlt hat als für ein Ferngespräch kann sich heute auch niemand mehr vorstellen.

Und dass man für den Internet-Zugang meist zwei Minuten-Gebühren (Telefontarif + Zugangstarif des Providers) bezahlen musste (und für beides auch noch eine saftige monatliche Grundgebühr!) kann heute auch niemand mehr nachvollziehen.

Insofern ist jedes Jammern a la "Ich kriege trotz monatlicher 10-EUR-Flat nur 2000 statt 6000 kBit/s geliefert" ein Jammern auf extrem hohen Niveau.

Das Shopping im Internet hat ja noch tausend andere Facetten

Und gerade diese immer mehr zunehmende Vielfalt überfordert die meisten Nutzer total. Manche machen dann reflexartig alles mit, was gerade wieder mal neu auf den Markt geworfen wurde, ohne sich über die Konsequenzen auch nur im geringsten im Klaren zu sein.

Aber nein, die eine Nachlässigkeit geht immer mit der anderen Hand in Hand.

Weil viele die Verfahren in Gänze nicht verstehen. Und weil es für sie auch nie vorstellbar ist, dass man sowas überhaupt verstehen kann. Deswegen versuchen sie auch gar nicht erst, sich da reinzufuchsen.

Vieles, was uns seit Jahren / Jahrzehnten völlig vertraut ist und wo wir zumindest ansatzweise wissen, worum es geht, ist für manche immer noch Neuland, obwohl sie es vielleicht auch schon ewig nutzen.

Ich habe manchmal Leute in meinen Kursen, die mir das bestätigen: "Das habe ich jahrelang nicht gewusst, wie das geht, dabei ist es so schnell erklärt und so einfach zu verstehen..."

Die verhalten sich – Achtung, bösartige Vergleiche! – wie die Stubenfliegen, die du 99x wegscheuchst und die sich trotzdem zum 100. Mal wieder an die gleiche Stelle setzen.

Schön gesagt. Aber genau so ist es. Es fehlt dabei wohl die grundsätzliche Einsicht in die Notwendigkeit, sich mit dem Problem wirklich mal zu beschäftigen.

Wir sind lernfähig, im Gegensatz zu den kleinen Nervensägen aus der Insektenwelt. Wir, oder zumindest viele von uns, machen nur einfach viel zu wenig Gebrauch davon.

Genau so ist es!

Gruß, mawe2

bei Antwort benachrichtigen