CPU-Eigenheiten erlauben Verschlüsselung

Hardware-basierte Zufallszahlengeneratoren sind für sichere Verschlüsselung weder nötig noch ideal. Diese Ansicht vertritt der philippinische Entwickler JV Roig, Leiter Consulting am Asia Pacific College. [...]

Ein innovativer Ansatz ist laut Forschern besser als Hardware-Zufallszahlengeneratoren. (c) pixabay
Es ist wichtig zu wissen, wer für die Sicherheit in einer Public Cloud verantwortlich ist. (c) pixabay

In einer aktuellen Arbeit beschreibt er mit „SideRand“ eine Methode, um mittels Seitenkanal-Messungen an jeder beliebigen CPU verschlüsselungstaugliche Zufallszahlen zu gewinnen. Das biete zudem den Vorteil, offen und überprüfbar zu sein.

Offenheit statt Black Box

Verschlüsselung erfordert Zufallszahlen. Doch Computer sind eigentlich deterministische Systeme, die nur Pseudo-Zufallszahlen liefern. Daher kommen bei Servern meist spezielle Hardware-basierte Zufallszahlengeneratoren zum Einsatz, die ausreichend zufällige Zahlen liefern. Falls solch ein Generator in Wirklichkeit vorhersehbare Zahlen liefern würde, wäre das ein Traum, beispielsweise für Hacker oder die NSA – und Behörden haben bisweilen Begehrlichkeiten geäußert, die Geräte entsprechend zu bauen. „Hardware-basierte Zufallszahlengeneratoren sind von Natur aus Black Boxes, unüberprüfbar und nicht vertrauenswürdig“, meint daher Roig gegenüber „The Register“.

Er schlägt als Alternative mit „SideRand“ eine Software-Lösung vor, die sich die Tatsache zunutze macht, dass keine zwei CPUs exakt gleich sind. Im Prinzip misst der Ansatz immer wieder die Ausführungszeiten einfacher Benchmarks. Mit genügend Messungen ergibt das laut Roig ausreichend zufällige Zahlen. In einem anlässlich der International Conference on Innovative Research vorgestellten Paper veröffentlicht er als Beispiel einfachen C-Code, der genau das macht. Ob der Code wirklich macht, was es soll, ist also einfach für andere überprüfbar.

Einfach imperfekte Chips

Roigs Ansatz funktioniert allerdings nur, da Mikrochips nicht perfekt sind. Denn sie enthalten Millionen oder Milliarden Transistoren, wobei es bei der Herstellung zu winzigen Abweichungen kommt. Daher haben selbst zwei CPUs aus der exakt gleichen Produktionscharge nicht die exakt gleichen Performance-Charakteristiken. Nur dadurch bleiben SideRand-Zufallszahlen unvorhersehbar. Wären Chips wirklich perfekt, müssten Roigs Seitenkanal-Messungen bei einer anderen CPU aus der gleichen Charge nämlich die gleichen Werte liefern – was die Zufälligkeit der Zahlen und damit deren Nutzen für die Verschlüsselung aushebeln würde.

Allerdings ist Roig zufolge derzeit nicht in Sicht, dass Mikrochips mit derartiger Konsistenz gefertigt werden. Einer Analyse des Lawrence Livermore National Laboratory aus 2017 zufolge haben die Performance-Abweichungen zwischen eigentlich baugleichen Chips im Laufe der Jahre sogar zugenommen. Der Ansatz könnte also auf absehbare Zeit sichere Verschlüsselung für alle Geräte von Server über Router bis hin zum Smartphone ermöglichen.


Mehr Artikel

News

ISO/IEC 27001 erhöht Informationssicherheit bei 81 Prozent der zertifizierten Unternehmen

Eine Umfrage unter 200 Personen verschiedener Branchen und Unternehmensgrößen in Österreich hat erstmals abgefragt, inwiefern der internationale Standard für Informationssicherheits-Managementsysteme (ISO/IEC 27001) bei der Bewältigung von Security-Problemen in der Praxis unterstützt. Ergebnis: Rund 81 Prozent der zertifizierten Unternehmen gaben an, dass sich durch die ISO/IEC 27001 die Informationssicherheit in ihrem Unternehmen erhöht hat. […]

News

Public Key Infrastructure: Best Practices für einen erfolgreichen Zertifikats-Widerruf

Um die Sicherheit ihrer Public Key Infrastructure (PKI) aufrecht zu erhalten, müssen PKI-Teams, sobald bei einer Zertifizierungsstelle eine Sicherheitslücke entdeckt worden ist, sämtliche betroffenen Zertifikate widerrufen. Ein wichtiger Vorgang, der zwar nicht regelmäßig, aber doch so häufig auftritt, dass es sich lohnt, PKI-Teams einige Best Practices für einen effektiven und effizienten Zertifikatswiderruf an die Hand zu geben. […]

News

UBIT Security-Talk: Cyberkriminalität wächst unaufhaltsam

Jedes Unternehmen, das IT-Systeme nutzt, ist potenziell gefährdet Opfer von Cyberkriminalität zu werden, denn die Bedrohung und die Anzahl der Hackerangriffe in Österreich nimmt stetig zu. Die Experts Group IT-Security der Wirtschaftskammer Salzburg lädt am 11. November 2024 zum „UBIT Security-Talk Cyber Defense“ ein, um Unternehmen in Salzburg zu unterstützen, sich besser gegen diese Bedrohungen zu wappnen. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*