akl
- Registriert
- 29.03.11
- Beiträge
- 4.009
- Reaktionen
- 1.743
- Punkte
- 21.483
Hi,
falls es jemanden interessiert:
http://www.heise.de/newsticker/meld...ft-MacBooks-ueber-Thunderbolt-an-2506839.html
Aus dem Artikel: "Der Sicherheitsexperte Trammell Hudson hat einen Weg gefunden, MacBooks eine manipulierte Firmware unterzujubeln. Ein Thunderbolt Option-ROM klinkt sich in den Boot-Prozess der EFI-Firmware ein und umgeht dabei die kryptographischen Signatur-Überprüfungen, die Apple bei Firmware-Updates einsetzt.
Ab dann übernimmt der Schädling die Kontrolle. Weil er so tief sitzt, kann ihn auch eine Neuinstallation des Betriebssystems oder gar ein
Austausch der Festplatte nicht entfernen. Thunderstrike überschreibt zudem den öffentlichen RSA-Schlüssel von Apple im ROM, wodurch soll sich
die originale Firmware nicht ohne den privaten Schlüssel des Angreifers wiederherstellen lassen soll.
Zum jetzigen Zeitpunkt handelt es sich um einen Proof-Of-Concept-Angriff, den Hudson am 29. Dezember auf dem Chaos Communication Congress (31C3) vorstellen will. Für die erste Infektion ist noch ein physischer Zugang zum Rechner des Opfers notwendig (Evil Maid Attack). Denkbar ist laut Hudson jedoch, dass sich der Schädling anschließend auf beliebige andere Thunderbolt-Geräte verpflanzt, um weitere MacBooks anzugreifen.
Die Schwachstelle selbst ist bereits seit mindestens zwei Jahre bekannt; eine ähnliche Attacke wurde 2012 auf der Hackerkonferenz Black Hat präsentiert. Derzeit existieren keine Schutzmöglichkeiten, da selbst ein gesetztes Firmware-Passwort einen erfolgreichen Angriff nicht verhindern kann.
Auch bietet Apples Firmware keine Option an, das Booten über Thunderbolt zu unterbinden.
Gegenüber heise online kündigte Hudson an, im Rahmen des Vortrags auch zu demonstrieren, wie sich das Boot-ROM patchen lässt, um
die Lücke zu schließen. Ob es sich dabei um einen von Thunderstrike unabhängigen Patch handelt, ist dabei noch unklar."
Netter Leserbrief dazu: "Unterschätzen des Anwenders"
http://www.heise.de/mac-and-i/news/...des-Anwenders/forum-290038/msg-26272073/read/
falls es jemanden interessiert:
http://www.heise.de/newsticker/meld...ft-MacBooks-ueber-Thunderbolt-an-2506839.html
Aus dem Artikel: "Der Sicherheitsexperte Trammell Hudson hat einen Weg gefunden, MacBooks eine manipulierte Firmware unterzujubeln. Ein Thunderbolt Option-ROM klinkt sich in den Boot-Prozess der EFI-Firmware ein und umgeht dabei die kryptographischen Signatur-Überprüfungen, die Apple bei Firmware-Updates einsetzt.
Ab dann übernimmt der Schädling die Kontrolle. Weil er so tief sitzt, kann ihn auch eine Neuinstallation des Betriebssystems oder gar ein
Austausch der Festplatte nicht entfernen. Thunderstrike überschreibt zudem den öffentlichen RSA-Schlüssel von Apple im ROM, wodurch soll sich
die originale Firmware nicht ohne den privaten Schlüssel des Angreifers wiederherstellen lassen soll.
Zum jetzigen Zeitpunkt handelt es sich um einen Proof-Of-Concept-Angriff, den Hudson am 29. Dezember auf dem Chaos Communication Congress (31C3) vorstellen will. Für die erste Infektion ist noch ein physischer Zugang zum Rechner des Opfers notwendig (Evil Maid Attack). Denkbar ist laut Hudson jedoch, dass sich der Schädling anschließend auf beliebige andere Thunderbolt-Geräte verpflanzt, um weitere MacBooks anzugreifen.
Die Schwachstelle selbst ist bereits seit mindestens zwei Jahre bekannt; eine ähnliche Attacke wurde 2012 auf der Hackerkonferenz Black Hat präsentiert. Derzeit existieren keine Schutzmöglichkeiten, da selbst ein gesetztes Firmware-Passwort einen erfolgreichen Angriff nicht verhindern kann.
Auch bietet Apples Firmware keine Option an, das Booten über Thunderbolt zu unterbinden.
Gegenüber heise online kündigte Hudson an, im Rahmen des Vortrags auch zu demonstrieren, wie sich das Boot-ROM patchen lässt, um
die Lücke zu schließen. Ob es sich dabei um einen von Thunderstrike unabhängigen Patch handelt, ist dabei noch unklar."
Netter Leserbrief dazu: "Unterschätzen des Anwenders"
http://www.heise.de/mac-and-i/news/...des-Anwenders/forum-290038/msg-26272073/read/
