DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE Laufzeitangriffe gegen das Signaturverfahren ECDSA Bei einem Laufzeitangriff nutzt der Angreifer die Rechenzeit einer kryptografischen Implementierung als Seitenkanalinformation. So kann bei ungeschützten Implementierungen die Laufzeit Rückschlüsse auf verarbeitete Geheimnisse (z. B. geheime Schlüssel) zulassen. Im Berichtszeitraum haben zwei Forscherteams Untersuchungen zu Laufzeitangriffen gegen das Signaturverfahren ECDSA (Elliptic Curve Digital Signature Algorithm) durchgeführt, die unter den Bezeichnungen Minerva (vgl. Quellenverzeichnis19: https://minerva.crocs.fi.muni.cz) und TPM-Fail (vgl. Quellenverzeichnis20: https://tpm.fail) veröffentlicht wurden. Bei Minerva wurden ECDSA-Implementierungen von Smartcards und Software-Kryptobibliotheken betrachtet, bei TPM-Fail wurden Sicherheitselemente für Computer, sogenannte Trusted Platform Modules (TPMs) untersucht. Die Grundidee der Angriffe ist bereits seit 1999 bekannt. Zunächst wird die Erzeugung mehrerer Signaturen angestoßen. Dabei werden die jeweils für eine Signaturerstellung benötigten Laufzeiten gemessen. Im Anschluss werden die einzelnen Informationen mit Hilfe eines mathematischen Verfahrens zusammengeführt, wodurch der geheime Signaturschlüssel berechnet werden kann. Der Signaturschlüssel ermöglicht es dem Angreifer, Signaturen des Opfers zu fälschen. Es sind verschiedene Gegenmaßnahmen bekannt, die Laufzeitangriffe gegen ECDSA-Implementierungen effektiv verhindern. Als Teil der AIS 46 veröffentlicht das BSI Leitfäden zur Evaluierung und Zertifizierung von Implementierungen bezüglich ihrer Widerstandsfähigkeit gegen Seitenkanalangriffe. 1.7 Hybride Bedrohungen Hybride Bedrohungen und deren Abwehr gewinnen sowohl im nationalen als auch internationalen Kontext stetig an Relevanz. Staatliche aber auch nichtstaatliche Akteure greifen vermehrt auf hybride Methoden und Ansätze zurück, um destabilisierenden Einfluss auf Staaten auszuüben. Hierzu bedienen sie sich typischerweise verschiedenster Werkzeuge, wie beispielsweise Cyber-Angriffe, verdeckte militärische Operationen, wirtschaftlicher Druck oder Desinformation, die in mehreren Domänen Wirkung entfalten und sich gegenseitig begünstigen können. Dies geschieht oft unter Verschleierung der Absichten und Urheberschaft bzw. gezielt unterhalb der Schwelle bestehender rechtsstaatlicher Interventionsmöglichkeiten. Die weltweit fortschreitende Digitalisierung ist ein entscheidender Treiber der Dynamik hybrider Bedrohungen, da sich neue potenzielle Verwundbarkeiten von Staat, Wirtschaft und Gesellschaft eröffnen. Der Dimension Cyber kommt deshalb in der Zusammensetzung hybrider Kampagnen eine herausgehobene Stellung zu. Zusätzlich hat sie eine besondere Querschnittsfunktion, da auch Maßnahmen in anderen Dimensionen oftmals von ihr abhängen. In einer hybriden Kampagne können je nach individueller Ausprägung die physische (z. B. Hardware und Firmware), die logische (z. B. Virtualisierungen und Betriebssysteme) und die informationelle 32 (z. B. Anwendungen und Daten) Schicht des CyberRaums durch einen Aggressor genutzt werden. Im Berichtszeitraum zeigte auch die COVID-19-Pandemie zu Beginn des Jahres 2020, wie Akteure versuchen, mittels Desinformation, die auch ein hybrides Mittel sein kann, Einfluss auf andere Staaten auszuüben. Es wird davon ausgegangen, dass bestehende Ängste und Unsicherheiten innerhalb der Bevölkerung der Zielstaaten ausgenutzt werden sollten, um durch gezielte Desinformation das Vertrauen der Bevölkerung in die nationalen Systeme und die demokratischen Institutionen zu schwächen. In zunehmendem Maße stützen sich Desinformationen auf technische Hilfsmittel, die der Manipulation authentischer Informationen dienen. Beispiele dafür sind das Verfälschen von Foto-, Video- und Tonaufnahmen sowie das Vortäuschen einer bestimmten Urheberschaft einer Informationsübermittlung (z. B. einer E-Mail oder eines Beitrags in Sozialen Netzwerken). Solche technischen Manipulationen hinterlassen oftmals Spuren, bei deren Identifizierung das BSI mit seiner technischen Expertise unterstützen kann. Darüber hinaus unterstützt das BSI unter anderem die Betreiber kritischer Infrastrukturen, die IT-Sicherheit im Rahmen von Wahlen, steht im Austausch mit den Betreibern Sozialer Netzwerke, z. B. im Rahmen einer Initiative zur Entwicklung von Sicherheitsempfehlungen, und sensibilisiert mit seinen Angeboten die Bevölkerung in Fragen der IT-Sicherheit.