Skip to main content

Hintertüren in PC-Hardware gefunden: Warum Hardware-Wallets so wichtig sind

Am von

In einem gestern erschienenen Blog-Beitrag machte das Sicherheitsunternehmen Eclypsium auf eine Schwachstelle in der Firmware von PC-Motherboards der taiwanesischen Firma Gigabyte aufmerksam. Beim Start, noch bevor das eigentliche Betriebssystem geladen wird, soll sich die Firmware Programmcode herunterladen und ausführen. Gedacht ist das eigentlich als praktischer Mechanismus, um keine neuen Updates zu verpassen und stets auf dem aktuellen Stand zu sein. Doch die Funktion ist alles andere als sicher implementiert und lässt die Tür für Angreifer weit offen – und das auf Millionen von Geräten.

Hunderte Modelle von Gigabyte Motherboards, die für Gaming und andere Hochleistungs-Computer verwendet werden, haben eine Hintertür in ihrer Firmware, die beim Start unsichtbar Code auf das Gerät herunterlädt – und das auf unsichere Weise, wodurch das Feature offen für Missbrauch bleibt.

@a_greenberg auf Twitter

Supply-Chain-Angriffe

Gerade für Supply-Chain-Angriffe, also Manipulation der Hardware in der Lieferkette zum Endkunden, sind solche Hintertüren besonders relevant und können für alles Mögliche ausgenutzt werden. Bereits vor wenigen Wochen berichtete Blocktrainer.de von gefälschten Hardware-Wallets der Firma Trezor, bei denen, zwar mit deutlich höherem Aufwand, ebenfalls eine direkte Manipulation an der Hardware vorgenommen wurde.

Anders als bei solchen gezielten und aufwändigen Angriffen, handelt es sich in diesem Fall allerdings um eine bereits ab Werk verbaute Hintertür, die, auch wenn dahinter kein böswilliger Gedanke steht, ein entsprechend viel größeres Risiko für Nutzer darstellen kann, und das durch die überwältigende Anzahl an potenziell kompromittierter Geräten, mit deutlich größerer Tragweite.

Weniger ist mehr

Die Sicherheit von Computer-Hardware und vor allem das notwendige Vertrauen, das man dieser entgegenbringen muss, ist vor allem im Kontext der Selbst-Verwahrung von Bitcoin ein relevantes Thema. Herkömmliche Desktop-PCs und Smartphones sind nicht nur in der darauf laufenden Software, sondern bereits grundlegend in der verbauten Hardware derart komplex, dass es problematisch sein kann, sich für die sichere Erzeugung und Verwahrung der eigenen privaten Schlüssel auf sie zu verlassen.

Hier kommen Hardware-Wallets ins Spiel, die, wie der Name schon andeutet, bereits auf Hardware-Ebene strikt dem Motto „Komplexität ist der Feind der Sicherheit“ folgen. Verbaute Komponenten werden sorgfältig ausgewählt und verbaut und in der Regel wirklich nur auf das Allernötigste reduziert, um damit die theoretische Angriffsfläche zu reduzieren.

Einige Anbieter von Hardware-Wallets, veröffentlichen darüber hinaus den Quellcode ihrer Firmware, um das notwendige Vertrauen der Kunden in den Hersteller noch weiter zu senken, darunter z.B. die von Blocktrainer.de empfohlene BitBox02 oder die Blockstream Jade.

Hot-Wallets, also solche, die auf herkömmlicher und mit dem Internet verbundener Hardware wie Smartphone oder Rechner verwendet werden, sind natürlich nicht grundsätzlich unsicher und können gerade bei kleineren Beträgen eine praktische Nutzererfahrung bieten. Doch Schwachstellen, wie wir sie gerade im Fall der Gigabyte Motherboards kennengelernt haben, zeigen, dass selbst auf frisch installierten Rechnern, die augenscheinlich unberührt sind, versteckte Gefahren lauern können. Zwar gilt dies streng genommen für sämtliche Geräte, also auch Hardware-Wallets, doch das allgemeine Risiko ist bei letzteren deutlich überschaubarer bis vernachlässigbar gering.


Empfohlen für Bitcoin

BitBox02

  • Sehr einfache Handhabung
  • USB „Typ C“ Unterstützung
  • Zusätzliche Sicherheit durch „Bitcoin only“ Version
  • Kann mit eigener Fullnode betrieben werden
  • Komplett Open Source
  • Bietet die Option die Mnemonic Phrase selbst zu erstellen (würfeln)
  • Aufgrund der Richtlinien von Apple leider nicht mit iPhones kompatibel (mit MacOS aber schon)
  • Unterstützt (bewusst) nur wenige verschiedene Kryptowährungen
  • Die Mnemonic Phrase (24 Wörter) kann optional und sicher auf einer SD Karte gespeichert werden