Manipulationssicherheit

Manipulationssicherheit ist eine Methode, die dazu dient, unbefugten Zugriff auf ein Gerät oder die Umgehung eines Sicherheitssystems zu verhindern, abzuschrecken oder aufzudecken. Da jedes Gerät oder System von einer Person mit ausreichendem Wissen, der entsprechenden Ausrüstung und genügend Zeit außer Gefecht gesetzt werden kann, ist der Begriff „manipulationssicher“ irreführend , sofern nicht explizit oder implizit Einschränkungen der Ressourcen des Angreifers berücksichtigt werden.

Manipulationssicherheit ist die Widerstandsfähigkeit gegen vorsätzliche Fehlfunktionen oder Sabotage durch die normalen Benutzer eines Produkts, einer Verpackung oder eines Systems oder durch andere Personen mit physischem Zugriff darauf.

Manipulationssicherheit reicht von einfachen Merkmalen wie Schrauben mit Spezialantrieb und manipulationssicheren Siegeln bis hin zu komplexeren Vorrichtungen, die sich selbst unbrauchbar machen oder sämtliche Datenübertragungen zwischen einzelnen Chips verschlüsseln. Hierfür werden Materialien verwendet, die Spezialwerkzeug und Fachkenntnisse erfordern. Manipulationssichere Vorrichtungen oder Merkmale sind auf Verpackungen üblich, um Manipulationen an Verpackung oder Produkt zu verhindern oder deren Erkennung zu ermöglichen.

Manipulationsschutzvorrichtungen verfügen über eine oder mehrere Komponenten: Manipulationsresistenz, Manipulationserkennung, Manipulationsreaktion und Manipulationsnachweis. ^{[ 1 ]} In manchen Anwendungen sind die Vorrichtungen lediglich manipulationssicher, nicht aber manipulationsresistent.

Manipulation bezeichnet die vorsätzliche Veränderung oder Verfälschung eines Produkts, einer Verpackung oder eines Systems. Lösungsansätze können alle Phasen der Produktherstellung, Verpackung , des Vertriebs, der Logistik , des Verkaufs und der Nutzung betreffen. Keine einzelne Lösung kann als „manipulationssicher“ gelten. Oftmals müssen mehrere Sicherheitsebenen berücksichtigt werden, um das Risiko von Manipulationen zu minimieren. ^{[ 2 ]}

Mögliche Überlegungen könnten sein:

• Identifizieren Sie potenzielle Manipulationstäter: Durchschnittsnutzer, Kinder, Patienten, unbedarfte Witzbolde, Gefangene, Saboteure, Mitglieder der organisierten Kriminalität, Terroristen oder korrupte Regierungsmitglieder. Über welches Wissen, welche Materialien, Werkzeuge usw. verfügen sie möglicherweise?
• Identifizieren Sie alle möglichen Methoden für unbefugten Zugriff auf ein Produkt, eine Verpackung oder ein System. Berücksichtigen Sie neben den primären Zugriffswegen auch sekundäre oder „Hintertür“-Methoden.
• Den Zugang zu Produkten oder Systemen von Interesse kontrollieren oder einschränken.
• Die Manipulationssicherheit wird verbessert, um Manipulationen zu erschweren, zeitaufwändiger zu gestalten usw.
• Fügen Sie manipulationssichere Merkmale hinzu, um auf das Vorliegen einer Manipulation hinzuweisen.
• Sensibilisieren Sie die Menschen dafür, auf Anzeichen von Manipulationen zu achten.

Manche Geräte enthalten nicht standardmäßige Schrauben oder Bolzen, um den Zugriff zu erschweren. Beispiele hierfür sind Telefonverteiler (mit dreieckigen Schraubenköpfen, auf die ein Innensechskantschlüssel passt) oder Bolzen mit fünfeckigen Köpfen zur Befestigung von Türen an Außentransformatoren. Ein Standard- Torx -Schraubenkopf kann in einer manipulationssicheren Ausführung mit einem Stift in der Mitte gefertigt werden, wodurch Standard-Torx-Schraubendreher nicht mehr verwendet werden können. Verschiedene andere Sicherheitsschraubenköpfe wurden entwickelt, um den unbefugten Zugriff auf das Innere von Geräten wie Unterhaltungselektronik zu verhindern.

Diese Art von Manipulationsschutz findet sich am häufigsten bei Einbruchmeldeanlagen . Die meisten Auslösevorrichtungen (z. B. Drucksensoren , passive Infrarotsensoren ( Bewegungsmelder ), Türschalter ) verwenden zwei Signalleitungen, die je nach Konfiguration entweder normalerweise offen oder normalerweise geschlossen sind . Da die Sensoren teilweise Strom benötigen, werden zur Vereinfachung der Verkabelung mehradrige Kabel verwendet. Während vier Adern für Geräte mit Strombedarf in der Regel ausreichen (zwei Adern bleiben als Reserve für Geräte ohne Strombedarf), können auch Kabel mit zusätzlichen Adern verwendet werden. Diese zusätzlichen Adern können in einen speziellen, sogenannten „Manipulationsschutzkreis“ der Alarmanlage integriert werden. Der Manipulationsschutzkreis wird vom System überwacht und löst Alarm aus, sobald eine Manipulation an den Geräten oder der Verkabelung erkannt wird. Gehäuse für Geräte und Bedienfelder können mit Manipulationsschutzschaltern ausgestattet sein. Potenzielle Einbrecher laufen Gefahr, den Alarm auszulösen, indem sie versuchen, eine bestimmte Vorrichtung zu umgehen.

Sensoren wie Bewegungsmelder, Neigungssensoren, Luftdrucksensoren, Lichtsensoren usw., die in manchen Einbruchmeldeanlagen eingesetzt werden, könnten auch in einer Bombe verwendet werden , um deren Entschärfung zu behindern.

Nahezu alle Geräte und Zubehörteile lassen sich nur mit Werkzeug öffnen. Dies soll verhindern, dass versehentlich oder unbeabsichtigt stromführende oder heiße Teile berührt werden oder dass das Gerät beschädigt wird. Hersteller verwenden mitunter manipulationssichere Schrauben, die sich nicht mit handelsüblichem Werkzeug lösen lassen. Solche Schrauben werden in vielen öffentlichen Gebäuden an elektrischen Installationen eingesetzt, um Manipulationen oder Vandalismus, die eine Gefahr für andere darstellen könnten, zu reduzieren.

Garantiesiegel auf der Oberseite einer Festplatte

Das Garantiesiegel wurde entfernt. Das Wort „UNGÜLTIG“ wird mehrfach angezeigt.

Ein Benutzer, der ein Gerät durch nicht vom Hersteller vorgesehene Modifikationen beschädigt, könnte dies leugnen, um die Garantie in Anspruch zu nehmen oder (hauptsächlich bei PCs) den Kundendienst um Hilfe bei der Reparatur zu bitten. Manipulationssichere Siegel können hierfür ausreichend sein. Sie lassen sich jedoch nicht ohne Weiteres aus der Ferne überprüfen, und in vielen Ländern gelten gesetzliche Gewährleistungsbestimmungen, die Hersteller unter Umständen zur Reparatur des Geräts verpflichten. Manipulationssichere Schrauben verhindern von vornherein, dass die meisten Benutzer das Gerät manipulieren. In den USA verbietet der Magnuson-Moss Warranty Act Herstellern, Garantien allein aufgrund von Manipulationen zu verweigern. Eine Garantie kann nur dann erlöschen, wenn die Manipulation das defekte Bauteil tatsächlich beeinträchtigt und den Defekt verursacht haben könnte.

Manipulationssichere Mikroprozessoren werden zur Speicherung und Verarbeitung privater oder sensibler Informationen wie privater Schlüssel oder elektronischer Geldguthaben eingesetzt. Um zu verhindern, dass Angreifer diese Informationen abrufen oder verändern, sind die Chips so konzipiert, dass die Informationen nicht von außen zugänglich sind und nur von der eingebetteten Software abgerufen werden können, die über entsprechende Sicherheitsmaßnahmen verfügen muss.

Beispiele für manipulationssichere Chips sind alle sicheren Kryptoprozessoren , wie der IBM 4758 und in Smartcards verwendete Chips , sowie der Clipper-Chip .

Es wurde argumentiert, dass es sehr schwierig sei, einfache elektronische Geräte vor Manipulationen zu schützen, da zahlreiche Angriffe möglich seien, darunter:

• Physikalische Angriffe verschiedener Art (Mikrosonden, Bohrer, Feilen, Lösungsmittel usw.).
• Das Gerät wird eingefroren
• Anlegen von Spannungen außerhalb der Spezifikation oder von Überspannungen
• Anlegen ungewöhnlicher Taktsignale
• Herbeiführung von Softwarefehlern durch Strahlung (z. B. Mikrowellen oder ionisierende Strahlung )
• Messung des genauen Zeit- und Energiebedarfs bestimmter Vorgänge (siehe Leistungsanalyse ).

Manipulationssichere Chips können so konstruiert sein, dass sie ihre sensiblen Daten (insbesondere kryptografische Schlüssel ) löschen , sobald sie ein Eindringen in ihre Sicherheitskapselung oder außerhalb der Spezifikationen liegende Umgebungsbedingungen feststellen. Ein Chip kann sogar für die sogenannte „Kaltzerstörung“ ausgelegt sein, also die Fähigkeit besitzen, sich selbst zu löschen, selbst nachdem die Stromversorgung unterbrochen wurde. Darüber hinaus können die speziell angefertigten Verkapselungsmethoden, die für Chips in manchen kryptografischen Produkten verwendet werden, so ausgelegt sein, dass sie intern vorgespannt sind und der Chip bei Manipulation bricht.

Dennoch bedeutet die Tatsache, dass ein Angreifer das Gerät beliebig lange in seinem Besitz behalten und möglicherweise zahlreiche weitere Exemplare zum Testen und Üben beschaffen kann, dass Manipulationen durch einen ausreichend motivierten Angreifer nicht vollständig ausgeschlossen werden können. Daher ist die Gesamtkonzeption des Systems eines der wichtigsten Elemente beim Schutz eines Systems. Insbesondere sollten manipulationssichere Systeme ein „ geordnetes Versagen “ ermöglichen, indem sie sicherstellen, dass die Kompromittierung eines Geräts nicht das gesamte System gefährdet. Auf diese Weise kann der Angreifer praktisch auf Angriffe beschränkt werden, deren Kosten den erwarteten Gewinn aus der Kompromittierung eines einzelnen Geräts übersteigen. Da die Durchführung der komplexesten Angriffe Schätzungen zufolge mehrere hunderttausend Dollar kostet, können sorgfältig konzipierte Systeme in der Praxis nahezu unangreifbar sein.

In den Vereinigten Staaten fordern die Beschaffungsrichtlinien Anti-Tampere-Funktionen (AT) für militärische Elektroniksysteme. ^{[ 1 ]}

Manipulationsschutz findet Anwendung bei Smartcards , Set-Top-Boxen und anderen Geräten mit Digital Rights Management (DRM). Hierbei geht es nicht darum, den Benutzer daran zu hindern, das Gerät zu beschädigen oder sich selbst zu verletzen, sondern darum, ihn am Extrahieren von Codes oder am Abfangen und Speichern des dekodierten Bitstroms zu hindern. Dies wird üblicherweise dadurch erreicht, dass viele Subsystemfunktionen in jedem Chip verborgen sind (sodass interne Signale und Zustände nicht zugänglich sind) und die Verbindungen zwischen den Chips verschlüsselt sind.

DRM-Mechanismen verwenden in vielen Fällen auch Zertifikate und asymmetrische Kryptografie . Manipulationssicherheit bedeutet in all diesen Fällen, dass der Gerätebenutzer keinen Zugriff auf die gültigen Gerätezertifikate oder die öffentlichen/privaten Schlüssel des Geräts erhält. Der Prozess, Software robust gegen Manipulationsangriffe zu machen, wird als „Software-Anti-Tamper“ bezeichnet.

Manipulationssicherheit ist manchmal bei Verpackungen erforderlich , zum Beispiel:

• Für einige Arzneimittel ist dies aufgrund von Vorschriften erforderlich.
• Hochwertige Produkte können Diebstahl ausgesetzt sein.
• Die Beweismittel müssen für mögliche Gerichtsverfahren unverändert bleiben.

Die Manipulationssicherheit kann in die Verpackung integriert oder ihr hinzugefügt werden . ^{[ 3 ]} Beispiele hierfür sind:

• Zusätzliche Verpackungsschichten (keine einzelne Schicht oder Komponente ist "manipulationssicher")
• Verpackungen, für deren Öffnung Werkzeuge benötigt werden
• Besonders stabile und sichere Verpackung
• Verpackungen, die nicht wiederverschlossen werden können
• Manipulationssichere Siegel, Sicherheitsbänder und Merkmale

Software gilt auch dann als manipulationssicher, wenn sie Maßnahmen enthält, die das Reverse Engineering erschweren oder verhindern, dass ein Benutzer sie entgegen den Wünschen des Herstellers verändert (z. B. durch Aufhebung einer Nutzungsbeschränkung). Eine gängige Methode ist die Code-Verschleierung .

Wirksamer Schutz vor Manipulationen ist in Software jedoch viel schwieriger als in Hardware, da die Softwareumgebung durch Emulation nahezu beliebig manipuliert werden kann.

Bei Implementierung würde Trusted Computing die Manipulation geschützter Programme durch Software mindestens so schwierig gestalten wie durch Hardware-Manipulation, da der Benutzer den Trust-Chip hacken müsste, um falsche Zertifikate auszustellen und so die Remote-Attestierung und die versiegelte Speicherung zu umgehen. Die aktuelle Spezifikation stellt jedoch klar, dass der Chip nicht gegen auch nur annähernd ausgeklügelte physische Angriffe resistent sein soll; ^{[ 4 ]} das heißt, er ist nicht so sicher wie ein manipulationssicheres Gerät.

Dies hat den Nebeneffekt, dass die Softwarewartung komplexer wird, da Software-Updates validiert werden müssen und Fehler im Aktualisierungsprozess zu einer fälschlichen Auslösung des Schutzmechanismus führen können.

• Chicagoer Tylenol-Morde
• Kindersichere Verpackung
• FIPS 140-2
• Tintenetikett
• Verpackung und Etikettierung
• Paketdiebstahl
• Manipulationssicherer Schalter
• Manipulationssichere Technologie
• Wutausbruch

• Smith, Sean; Weingart, Steve (1999). „Aufbau eines leistungsstarken, programmierbaren sicheren Koprozessors“. Computer Networks . 31 (9): 831–860 . CiteSeerX  10.1.1.22.8659 . doi : 10.1016/S1389-1286(98)00019-X .
• Rosette, Jack L. (1992). Verbesserung manipulationssicherer Verpackungen: Probleme, Tests und Lösungen . Taylor & Francis. ISBN 978-0877629061Die

• Manipulationssicherheit – ein Warnhinweis
• Designprinzipien für manipulationssichere Smartcard-Prozessoren
• Kostengünstige Angriffe auf manipulationssichere Geräte