Security

Sicherheit von Peripherie-Firmware

Mac-Computer umfassen zahlreiche integrierte Peripherieprozessoren, die viele Aufgaben übernehmen, beispielsweise Netzwerkbetrieb, Grafikverarbeitung, Energieverwaltung oder Verwaltung von Datenbussen wie USB oder Thunderbolt. Häufig erfüllt die Peripherie-Firmware nur einen Zweck und ist deutlich weniger leistungsstark als die Intel-CPU. Allerdings geraten integrierte Peripheriegeräte, die nicht genügend Sicherheit implementieren, ins Visier von Angreifern, die nach einfacheren Zielen suchen, um diese auszunutzen und das Betriebssystem dauerhaft zu infizieren. Ist die Firmware eines Peripherieprozessors erst einmal infiziert, könnte ein Angreifer die Software auf der Intel-CPU ansteuern oder auch direkt sensible Daten abgreifen (z. B. könnte ein Ethernetgerät den Inhalt von Paketen sehen, die nicht verschlüsselt sind).

In strategischer Zusammenarbeit mit Drittanbietern setzt sich Apple dafür ein, die Anzahl der erforderlichen Peripherieprozessoren (soweit möglich) zu reduzieren oder Designs, die Firmware erfordern, gänzlich zu vermeiden. Wenn jedoch Firmware benötigt wird, werden Maßnahmen getroffen um sicherzustellen, dass Angreifer sich auf diesem Prozessor nicht halten können. Dies lässt sich wie folgt erreichen:

Durch Ausführen des Prozessors in einem Modus, in dem er beim Starten geprüfte Firmware von der Intel-CPU herunterlädt
Durch Sicherstellen, dass der Peripherieprozessor seinen eigenen sicheren Startvorgang implementiert und dabei seine eigene Firmware bei jedem Starten überprüft

Apple arbeitet mit Herstellern zusammen, um deren Implementierungen zu überprüfen und deren Designs mit gewünschten Eigenschaften zu erweitern, beispielsweise:

Sicherstellen eines Minimums an kryptografischer Stärke
Konsequentes Widerrufen von Firmware, die als schlecht bekannt ist
Deaktivieren von Debugging-Schnittstellen
Signieren der Firmware mit kryptografischen Schlüsseln, die in von Apple gesteuerten HSMs (Hardware Security Modules) gespeichert sind

In den letzten Jahren hat Apple mit einigen externen Anbietern zusammengearbeitet, um die gleichen „Image4“-Datenstrukturen, den Bestätigungscode und die Signierungsinfrastruktur zu nutzen, die auch bei iOS, iPadOS und Mac-Computern mit dem Apple T2-Sicherheitschip zum Einsatz kommen.

Wenn weder der Betrieb ohne Speicher noch Speicher plus sicheres Starten eine Option ist, verlangt das Design, dass Firmware-Aktualisierungen kryptografisch signiert und überprüft werden, bevor der permanente Speicher aktualisiert werden kann.

Vgl. auchSystem Management Mode (SMM)DMA-Schutz Erweiterungs-ROMs OROM-Sandbox

Hilfreich?

Sicherheit der Apple-Plattformen

Sicherheit von Peripherie-Firmware