Kaltstartattacke: Fast alle Macs und PCs angreifbar – außer Macs mit T2-Chip
Die Verschlüsselung von Festplatten und SSDs soll Kunden vor einem einfachen Angriffsszenario schützen: Selbst wenn der Mac oder PC mit einem Passwort oder Pin versehen wurde, kann ein Angreifer eine unverschlüsselte Festplatte einfach in einen anderen Computer einbauen und die Daten auslesen.
Während der Computer läuft, muss bei den meisten Geräten der Key zur Ver- und Entschlüsselung der Daten aber im Arbeitsspeicher liegen. Normalerweise ist dies kein Problem, da Betriebssysteme viele Sicherheitsvorkehrungen mitbringen, die das beliebige Auslesen des Arbeitsspeichers durch Programme unterbinden.
Die Kaltstartattacke…Schon seit vielen Jahren ist in der Hacker-Community ein Angriffsszenario namens "Kaltstartattacke" bekannt, mit der auf älteren Geräten der gesamte Speicherinhalt ausgelesen werden kann. Hierzu wird der Computer ausgeschaltet und möglichst schnell von einer anderen Festplatte gebootet – der Speicherinhalt blieb durch die Beschaffenheit der RAM-Chips weitgehend erhalten. Auf der neuen Festplatte befindet sich ein Minimalsystem, das den Arbeitsspeicher nach dem Key zum Entschlüsseln der Daten durchsucht.
…und die Aushebelung der GegenmaßnahmenModerne PCs und Macs überschreiben beim Herunterfahren und anschließenden Starten den Inhalt des Arbeitsspeichers, um Angriffe wie die Kaltstartattacke zu verhindern. Die Sicherheitsfirma F-Secure hat ein
neues Angriffsszenario gefunden, mit dem sich diese Sicherheitsmaßnahmen bei den meisten Macs und PCs aushebeln lassen. F-Secure meldete den Fehler an Apple, Microsoft und Intel, bevor das Sicherheitsunternehmen weitere Details zu der möglichen Attacke veröffentlicht – so soll den Konzernen Gelegenheit gegeben werden, Gegenmaßnahmen zu ergreifen bis Hacker das Angriffsszenario ausnutzen können. Somit ist auch noch nicht klar, wie genau F-Secure die derzeitigen Vorkehrungen überwinden kann.
Macs mit T2-Chip nicht betroffenMicrosoft gab bekannt, dass PCs mit einer eingestellten BitLocker-Start-Pin nicht von diesem Angriffsszenario betroffen sind. Ebenfalls immun sind Macs mit
T2-Prozessor wie das 2018er MacBook Pro und der iMac Pro: Diese speichern den SSD-Key nicht im Arbeitsspeicher, sondern im lokalen Speicher des T2-Hilfsprozessors. Dieser lokale Speicher ist nicht von außen auslesbar, so dass eine Kaltstartattacke hier wirkungslos ist.