Beveiligingsonderzoekers tonen de beperking van een TPM-chip in laptops aan door de ingebouwde beveiliging te omzeilen. Zo kunnen ze inbreken in een Windows-laptop.
Onderzoekers van beveiligingsbedrijf Dolos Group zijn er in geslaagd een Lenovo-laptop te kraken aan de hand van de TPM-chip. De integratie van die beveiligingschip op het moederbord was onvoldoende veilig en dat konden de onderzoekers uitbuiten. In minder dan een half uur hadden ze toegang tot de laptop en konden ze het bijhorende bedrijfsnetwerk binnenbreken.
De Trusted Platform Module (TPM)-chip is een microchip op het moederbord die zelfstandig van de CPU en de BIOS functioneert. De TPM is zwaar beveiligd en bevat data zoals de sleutel voor BitLocker-encryptie of de gegevens voor de biometrische ontgrendeling van je toestel. Doordat de TPM los staat van de rest van de hardware, kan een hacker er in principe niet vanop afstand mee knoeien.
Focus op communicatie
De onderzoekers van Dolos Group analyseerden een scenario waarbij ze toegang hadden tot de fysieke laptop. Het toestel in kwestie was in de fabriek voorgeconfigureerd voor een nieuwe werknemer. Wanneer hij of zij het toestel inschakelt, zou het direct verbinden met het bedrijfsnetwerk via een VPN voor verdere onboarding.
De TPM zelf bleek inderdaad voldoende beveiligd, maar de communicatie tussen de chip en de rest van het toestel was dat niet. De onderzoekers slaagden er in via de hardware een connectie te maken en zo mee te luisteren naar wat de TPM en de CPU tegen elkaar zeiden. In die trafiek werd onder andere de encryptiesleutel voor BitLocker uitgewisseld.
Gewapend met die sleutel konden de onderzoekers de encryptie van de SSD omzeilen en zich toegang verwerven tot de interne opslag. Van daaruit konden ze hun zin doen en onder andere de VPN misbruiken om malware naar het bedrijfsnetwerk te sturen en andere toestellen te infecteren. ArsTechnica doet de hele aanval in detail uit de doeken.
Gevaar met telewerk
De aanval toont aan dat zelfs een toestel beveiligd volgens actuele normen niet onkwetsbaar is. De aanval zelf is natuurlijk niet eenvoudig aangezien er fysieke toegang nodig is, maar ondenkbaar is de aanpak evenmin. Nu telewerk populairder is dan ooit, worden werknemers steeds vaker uitgerust met geconfigureerde laptops die aan huis worden geleverd. Daarmee start het onboardingproces met een druk op de knop zonder dat IT tussenbeide moet komen. Een aanvaller die een dergelijke laptop onderschept, kan heel wat schade aanrichten.
De TPM-chip zelf heeft bovendien niet afgedaan. De chips hebben functionaliteit waarbij ze zelf versleuteld zijn en een gebruiker een code moet ingeven wanneer een systeem opstart. Microsoft raadt aan om die extra beveiliging uit te schakelen tenzij je als organisatie vreest voor gerichte hardware-aanvallen. Het lijkt er nu op dat de extra pincode toch een goed idee is voor toestellen die per post worden verzonden.
TPM 2.0
Microsoft wil van zijn kant de universele beveiliging van pc’s opkrikken. Voor Windows 11 moeten systemen daarom compatibel zijn met de moderne TPM 2.0-chip. De extra beveiliging die de modernere chip brengt, helpt echter niet in combinatie met bovenstaande aanval. De onderzoekers vergelijken hun aanpak met een diefstal van Fort Knox, waarbij ze het sterk beveiligde fort negeren en zich in de plaats daarvan richten op de niet zo gepantserde wagens die het goud vervoeren.