«Ein startender Computer ist verletzlich wie ein Neugeborenes»

Herr Benini, entscheidend f¨¹r sichere Hardware sind sogenannte ?Root of Trust?-L?sungen, kurz RoT. Wof¨¹r steht dieser Begriff?
Luca Benini: Heute ist immer ?fter die Hardware eines Systems das Ziel von Angriffen. Denn w?hrend Schwachstellen in einem Programm relativ schnell geflickt werden k?nnen, ist die Hardware viel statischer. Fehler bleiben in der Regel l?nger unerkannt und werden ¨C wenn ¨¹berhaupt ¨C viel sp?ter korrigiert. RoT bezeichnet eine Methode, mit der man die Integrit?t von Hardware ¨¹berpr¨¹fen kann. Bei einer ?RoT?-L?sung handelt sich in der Regel um einen Microchip, der kontrolliert, ob sich ein System so verh?lt, wie wir das erwarten.

Wie macht er das?
Vereinfacht gesagt funktioniert das ?hnlich wie beim E-Banking mit Zwei-Faktor-Authentifizierung. Das System sendet einen Code an den RoT-Chip und dieser pr¨¹ft, ob der Code stimmt. Nimmt jemand Ver?nderungen am ¨¹berwachten System vor, dann ver?ndert sich dieser Code und der Chip bricht den Prozess ab.

Und das macht auch Open Titan?
Open Titan ¨¹berwacht das Aufstarten eines Computers, den sogenannten Bootprozess. Wie ein Baby kurz nach der Geburt muss auch ein Computer in den Sekunden nach dem Start besonders gesch¨¹tzt werden: Die sogenannte Firmware, also die Software, die den Bootprozess steuert, wird aktiv, bevor zum Beispiel das Antivirenprogramm arbeitet. Entsprechend konzentrieren sich viele Angriffe auf diese ersten Sekunden und versuchen, die Firmware zu sch?digen. Gelingt das, k?nnen die Angreifer das System ¨¹bernehmen, ohne dass man das bemerkt. Open Titan kontrolliert, ob der Code, den die Firmware generiert, mit dem erwarteten Code ¨¹bereinstimmt. Ist das nicht der Fall, wird der Bootprozess abgebrochen.

Nun bieten bereits heute verschiedene Firmen solche RoT-Chips an. Reichen die nicht aus?
Die herk?mmlichen Systeme sind propriet?r und erfordern, dass die Benutzer blindes Vertrauen in eine Technologie setzen, die sie nicht ¨¹berpr¨¹fen k?nnen - mit Open Titan gehen wir einen ganz anderen Weg.

Was kann denn Open Source, also eine quelloffene L?sung besser?
In der IT-Sicherheits-Community setzt man zunehmend auf Open Source. Egal ob frei zug?nglich oder propriet?r, Hacker finden in jedem System eine Schwachstelle. Darum halte ich es f¨¹r besser, wenn die potenziellen Opfer eines Angriffs zusammenarbeiten, anstatt sich auf einen einzigen Hersteller zu verlassen. Hinzu kommt: Sollte sich ein Partner aus dem Open Titan-Projekt zur¨¹ckziehen, kann die Community die L?sung trotzdem weiterentwickeln. Bei einer herk?mmlichen L?sung ginge das nicht.

Ihr Open-Source-Prozessor ?Ibex? ist ein wichtiges Element des Projekts. Wozu braucht es einen quelloffenen Prozessor? Es ist doch die Software, die dem Chip seine Funktionalit?t gibt?
Auch hier gilt das Motto, je transparenter desto sicherer. Nat¨¹rlich kann auch ein RoT-Chip angegriffen werden. Was n¨¹tzt es also, wenn die Software quelloffen, der Prozessor, auf dem sie l?uft, jedoch weiterhin eine Blackbox ist, deren potenzielle L¨¹cken ich nicht sehen kann? Open Titan ist von A bis Z transparent.

Wer ist am Open-Titan-Projekt beteiligt?
Aktuell sind schon mehrere Organisationen am Projekt beteiligt. Darunter die ETH Z¨¹rich, Google, G+D Mobile Security, Nuvoton, Western Digital und die gemeinn¨¹tzige Organisation ?lowRISC?. Letztere wurde von den Erfindern des Open-Source-Computers ?Raspberry Pi? gegr¨¹ndet, der als erster quelloffener Computer weltweit f¨¹r Schlagzeilen sorgte und noch heute in vielen Open-Source-Projekten zur Anwendung kommt. Je mehr Partner bei Open Titan mitmachen, desto sicherer wird die L?sung und desto kleiner wird der Einfluss der einzelnen Partner. F¨¹r die ETH ist Open Titan darum eine ausgezeichnete Gelegenheit, ihre Technologie im Dienst der Gesellschaft zur Anwendung zu bringen.