Gutachten (PDF) - Professur Datenschutz und Datensicherheit ...

3 Angriffstechniken und -werkzeuge
so etwa in dem inzwischen vom Markt verschwundenen DVD-Verleihsystem DIVX, das ein
anderes und bislang nicht kompromittiertes Verschlüsselungssystem hatte als die DVD.
3.2.4 Sichere Verpackung ganzer Baugruppen
Bei derartigen Sicherheitsmodulen (siehe auch Abschnitt 2.2.3, Seite 28) ist zu beachten, dass
SRAM-Bausteine ihren Speicherinhalt bei Raumtemperatur für einige Sekunden ohne Versorgungsspannung
erhalten können [53, 28]. Die verbliebene Ladungsverteilung in den Feldeffekttransistoren
reicht aus, um das Flip-Flop beim Wiedereinschalten in den alten stabilen Zustand
zurückkehren zu lassen. Diese Ladungsverteilung wird durch thermisches Rauschen langsam
verändert. Durch Kühlung der ganzen Baugruppe auf etwa −50 ◦ Celsius kann das thermische
Rauschen soweit verringert werden, dass sich die Information manchmal stundenlang ohne Versorgungsspannung
halten kann.
Ein Angreifer könnte das Modul abkühlen und ohne Rücksicht auf den Alarmmechanismus die
Verpackung schnell entfernen. Dann würde er den Kurzschluss, den der Alarmmechanismus
ausgelöst hat, beseitigen und eine externe Versorgungsspannung anlegen, um anschließend das
Modul auszulesen. Als Gegenmaßnahme sollte daher ein Sensor bei einer Abkühlung deutlich
unter übliche Temperaturen ein Überschreiben der Daten auslösen.
Mit dieser Technik lassen sich Sicherheitsmodule entwickeln, die den FIPS Level 4 Anforderungen
genügen, und auch einem Klasse-III-Angreifer einiges Kopfzerbrechen bereiten dürften.
Ein möglicher Angriff wäre, bei Raumtemperatur mit speziell entwickelten Werkzeugen
in Sekundenbruchteilen die Alarmmechanismen und die Batterie mechanisch abzutrennen, um
ein aktives Überschreiben der Daten zu verhindern und dann sofort die Speicherbausteine mit
einer externen Betriebsspannung zu versorgen. Ein anderer Angriffsansatz wäre, mechanisch
die Drähte teilweise freizulegen, um mit einem sehr empfindlichen Spannungsmessgerät die
Drahtwindungen nahe der Alarmschaltung ausfindig zu machen. Die an diesen Windungen anliegenden
Potentiale werden dann mit einer externen Präzisionsspannungsquelle festgehalten,
woraufhin der Angreifer die zwischen den extern spannungsstabilisierten Windungen liegenden
anderen Drahtwindungen unterbrechen und den freigewordenen Raum für einen Zugang zum
Inneren des Moduls nutzen kann.
Das physikalische Sicherungssystem des IBM 4758 Transaction Security System Moduls, das
beispielsweise in vielen Geldautomaten eingesetzt wird, ist kurz in [1] beschrieben. Die äußere
Schutzhülle besteht aus einer flexiblen Polyuretan-Folie, in die mehrere Lagen eines mit
dotiertem und damit elektrisch leitfähigen Polyuretan gedruckten Sensorleitungssystem eingebettet
werden. Da sich Leiter und Isolator chemisch nur geringfügig unterscheiden, ist es nicht
mehr praktikabel, mit chemischen Mitteln wie beim Vorläufersystem die Drähte freizulegen
und kurzzuschließen. Diese Alarmfolie umgibt die sicherheitsrelevanten Speicher-, Prozessorund
Verschlüsselungsbausteine völlig und schließt die Baugruppe hermetisch dicht ab. Die Widerstandsüberwachungsschaltung
entspricht der in [56] beschriebenen. Das IBM 4758 Sicherheitsmodul
war das erste nach FIPS Level 4 zertifizierte Sicherheitsmodul und dürfte nach einhelliger
Ansicht von Fachleuten auch einem Klasse-III-Angreifer erhebliche Schwierigkeiten
bereiten.
Das Schutzmembransystem, das die Firma Gore in Zusammenarbeit mit IBM für das IBM
4758 Modul entwickelte, ist inzwischen unter der Markenbezeichnung D 3 Electronic Security
Enclosure auf dem Markt erhältlich [27] und verschiedene Hersteller arbeiten am Einsatz dieser
52