Air Gap Covert Channels

Markus Zwettler, BSc

Dozent: Daniel Haslinger, DI. 

Ausgangslage

Der Air Gap – oft als heiliger Gral zur Abschottung von unternehmenskritischen Systemlandschaften betitelt – erfuhr in den letzten Jahren einen starken Rückgang seines schon von Anbeginn stark umstrittenen Sicherheitsprinzips. Dies ist hauptsächlich auf die seit 2014 stark zunehmende Forschungsaktivität im Gebiet des Air Gaps an sich, und vor allem hinsichtlich möglicher Angriffsszenarien auf durch Air Gaps geschützte Systeme zurückzuführen. Da das Prinzip eines Air Gaps die physikalische sowie logische Isolierung eines Systems vorsieht, bedienen sich diese Angriffsmethoden sogenannter Covert Channels (=verdeckte Seitenkanäle). Diese beruhen unter anderem auf Signalen von diversen Hardware-Komponenten, die beispielsweise bei ausreichender Belastung des Datenbusses zwischen CPU und RAM erzeugt werden. Die Anzahl der erforschten Covert Channels stieg in den letzten Jahren rapide an, wodurch es zunehmend schwieriger wird, den Überblick über mögliche Angriffsszenarien sowie deren Möglichkeiten und Effizienz zu behalten.

Ziel

Das Ziel dieser Arbeit ist, die Sicherheitsmaßnahme Air Gap im heutigen Zeitalter hinsichtlich dieser neuen Covert Channels zu evaluieren. Dazu müssen vorerst bestehende Probleme mit dem Prinzip des Air Gaps an sich beleuchtet werden, um anschließend einen Überblick über alle bereits erforschten Verfahren zur Überbrückung eines Air Gaps zu geben und diese anhand einer im Rahmen dieser Arbeit definierten Metrik zu vergleichen. Schlussendlich soll versucht werden, eines der Angriffsszenarien in der Praxis mit möglichst einfachsten Mitteln umzusetzen. Dadurch kann das generelle Risiko, das von den unterschiedlichen Covert Channels ausgeht, bewertet werden.

Ergebnis

Im Zuge dieser Arbeit konnte eine umfassende Übersicht über aktuelle Angriffsmethoden auf Air Gap Systeme erstellt und die wichtigsten Unterschiede und Charakteristiken ausgearbeitet werden. Anhand eines definierten Beispielszenarios wurde eine Metrik erstellt, um die Angriffsmethoden zu vergleichen und anschließend einen Kandidaten für die praktische Umsetzung auswählen zu können. Die praktische Implementierung der ausgewählten Methode zeigte allerdings, dass diese nicht robust mit Low-End-Equipment umgesetzt werden konnte und potentielle Angreifer auf spezielle, kostenintensivere Hardware zurückgreifen müssen.