Ein verlorenes oder gestohlenes Notebook ist der Albtraum jedes IT-Sicherheitsverantwortlichen. In solchen Momenten ist die Endgeräteverschlüsselung die letzte und wichtigste Verteidigungslinie: Sie soll garantieren, dass sensible Unternehmensdaten selbst dann absolut sicher und unlesbar bleiben, wenn das Gerät physisch in die falschen Hände gerät. Doch wie sicher ist dieser Schutz im Ernstfall wirklich?
Aktuelle Erkenntnisse aus der IT-Sicherheitsforschung zeigen, dass das Vertrauen auf standardmäßige Verschlüsselungsmechanismen fatal sein kann. Sobald Angreifer physischen Zugriff auf die Hardware haben, lassen sich vermeintlich sichere Hürden oft mit erschreckender Leichtigkeit umgehen. Wie die neu entdeckten Angriffsvektoren BitUnlocker und YellowKey die gängige Microsoft BitLocker-Verschlüsselung im reinen TPM-Modus (TPM Only) komplett aushebeln und warum ein wirksamer Schutz im Verlustfall heute weit über den Standard hinausgehen muss, zeigt der folgende Praxisbericht unserer Experten.
Zwei aktuelle Angriffe auf die BitLocker Verschlüsselung
Der BitUnlocker Angriff
Der BitUnlocker BitLocker Bypass verwendet einen Bootloader um in ein modifiziertes Windows/WinRe Image zu booten. Die Voraussetzungen dafür sind BitLocker im TPM Only Modus mit speziellen PCR-Register Kombinationen (z.B. PCR 7 & 11) und ein gültig signierter Windows Bootloader der noch mit der Microsoft UEFI CA 2011 Zertifikatskette signiert ist. Durch eine modifizierte BCD-Datei wird das modifizierte Image nach der Wiederherstellung des Bitlockerschlüssels aus dem TPM geladen, dadurch kann dann von dort aus auf die verschlüsselte Systempartition zugegriffen werden.
Der YellowKey Angriff
Der YellowKey BitLocker Bypass soll einen Windows Recovery Mechanismus ausnutzen, der Änderungen an Dateisystemen basierend auf NTFS-Transaktionen vornimmt. Wie bei BitUnlocker kommt man dadurch in eine Umgebung, die nach dem Wiederherstellen des Bitlockerschlüssels aus dem TPM gestartet wird und so Zugriff auf die verschlüsselte Systempartition hat. Der Angriff funktioniert in beiden BitLocker Modis TPM-Only, als auch bei der Verwendung von TPM + PIN. Im TPM + PIN Modus, muss dem Angreifer jedoch die TPM PIN bekannt sein. Da aber keine Dateien in der Bootkette verändert werden, sollten auch andere PCR-Register Kombinationen betroffen sein.
Der Sicherheitsforscher Nightmare-Eclipse meint hier ein bewusstes Microsoft Backdoor von BitLocker gefunden zu haben und schreibt auf Github: ” Die Komponente, die für diesen Fehler verantwortlich ist, ist nirgendwo (auch nicht im Internet) zu finden, außer im WinRE-Image, und was Misstrauen weckt, ist die Tatsache, dass genau dieselbe Komponente mit genau demselben Namen auch in einer normalen Windows-Installation vorhanden ist, jedoch ohne die Funktionen, die das Problem der BitLocker-Umgehung auslösen. Warum? Mir fällt einfach keine andere Erklärung ein als die, dass dies beabsichtigt war. Außerdem sind aus irgendeinem Grund nur Windows 11 (+Server 2022/2025) betroffen, Windows 10 hingegen nicht. [übersetzt]”
Beide Angriffe benötigen physischen Zugriff auf das Endgerät und beziehen sich sowohl auf den transparenten BitLocker (TPM only) ohne jedliche Pre-Boot-Authentisierung als auch auf den BitLocker mit TPM + PIN Schutz, sofern dem Angreifer die PIN bekannt ist.
Der transparente BitLocker ist dann aktiv, wenn ihr Endgerät nach dem Einschalten direkt in die Windows Anmeldung bootet. TPM + PIN ist ein erweiterer BitLocker Schutz, wo man vor dem Windows Start in einem blauen Bildschirm die TPM PIN eingeben muss, um das System zu starten.
Wie kann man sich schützen?
Leider behauptet der frustrierte Sicherheitsforscher „Nightmare-Eclipse“ (alias Chaotic Eclipse) auch, dass er einfach TPM+PIN aushebeln kann, diesen Code hat er/sie aber noch nicht veröffentlicht.
Echten Schutz bietet aktuell nur eine Pre-Boot-Authentisierung für BitLocker. CPSD bieten Unternehmen zwei ausgereifte Produkte an:
Secure Disk for BitLocker – ist ein MFA Pre-Boot Schutz mit eigener Serverkomponente, der eine Vielzahl an 1FA- und MFA-Authentifizierungen wie Smartcards, Token, Yubikey, Swissbit, FIDO2, TOTP Apps (Google Authenticator, Microsoft Authenticator, etc.) aber auch eine Pre-Boot Passwortanmeldung und Netzwerk-Unlock unterstützt.
Unlock Anywhere® – ist eine Cloud-basierte MFA Pre-Boot-Lösung, wo der Boot-Schlüssel für die BitLocker-Verschlüsselung sicher aus der Cloud kommt. Kombiniert mit einer Windows Passwortanmeldung oder besser Windows Hello for Business handelt es sich um eine vollständige MFA-Lösung für beliebige Windows Endgeräte. Die Lösung bietet auch Remote-Lock und Remote-Wipe.
Beide Lösungen sind vollständig in Linz entwickelt, unterstützen die digitale Krypto-Souveränität und sind nach unserer Einschätzung weder mit BitUnlocker noch mit YellowKey angreifbar. Zusätzlich beinhalten beide Lösungen in neueren Versionen das Feature “Trusted Bootloader”. Mit diesem kann man eine Liste an Windows Bootloadern erstellen denen Schlüsselmaterial übergeben wird (unabhängig von einer Sperrung durch Secure Boot). Ein Rollback auf alte Bootloader Versionen – wie bei BitUnlocker – kann so unterbunden werden.
Hinterlasse einen Kommentar
Du musst angemeldet sein, um einen Kommentar schreiben zu können.