Air Gap: Bremsschwelle statt Tresor – der Arbeitsspeicher kann flüstern

Kabel ziehen, WLAN abschalten, Raum abschließen: Ist der Computer nun endlich sicher? Eine wissenschaftliche Arbeit zu einem Angriff namens RAMBO, der über verdeckte Funksignale Geheimnisse aus Rechnern mit Air Gap schleust, legt nahe, dass die ehrliche Antwort lautet: „sicherer, nicht sicher“.

Was die Forschung tatsächlich zeigt

Die Arbeit stammt von Dr. Mordechai Guri, dem Leiter des Offensive Cyber Research Lab, wie The Hacker News berichtet. Die Idee: Schadcode auf einem infizierten, isolierten Rechner manipuliert Speicheroperationen so, dass die Speicherbusse Funksignale aussenden. Diese Signale tragen codierte Daten. Das Paper auf arXiv nennt eine Datenabflussrate von 1000 Bit pro Sekunde.

Das ist langsam, und das sollte man nicht schönreden. Aber ein Passwort, ein Verschlüsselungsschlüssel oder ein kurzes Dokument braucht keine Breitbandverbindung. Der Angriff ist zudem kein Einfallstor: Die Malware muss bereits auf dem Rechner sein, und wie bei verwandten Air-Gap-Angriffen muss sich ein Empfänger in Reichweite befinden. Die Arbeit nimmt dem Air Gap nicht seinen Wert. Sie greift die Annahme an, der Air Gap sei absolut.

Isolation verringert das Risiko – und das ist in Ordnung

Ein Air Gap ist nach der Lehrbuchdefinition ein Rechner ohne Netzwerkschnittstelle zu anderen Netzen. Diese Definition betrifft Netzwerke. Die Physik liest sie nicht. Speicher, Kabel und Prozessoren sind Elektronik, und Elektronik strahlt.

RAMBO ist auch kein Einzelfall. Verwandte wissenschaftliche Arbeiten befassen sich mit Ethernet-Kabeln als Antennen, mit verdeckten WLAN-Signalen von Air-Gap-Rechnern, die in mehreren Metern Entfernung aufgefangen wurden, und mit elektromagnetischen Kanälen, die ein Insider oder Spion in der Nähe mit einem Mobiltelefon oder Laptop auslesen könnte. Wenn dieselbe Angriffsfamilie immer neue Varianten hervorbringt, wirkt das weniger wie eine Kuriosität als wie eine eigene Kategorie.

Unsere Einschätzung: Die richtige Reaktion ist weder Panik noch ein „Wen kümmert’s, es braucht ja erst Malware“. Die Erstinfektion ist genau das, was Air-Gap-Umgebungen verhindern sollen; sie für unmöglich zu halten, ist daher die Schwachstelle. Sicherheitsteams sollten den Air Gap als eine starke Schicht unter mehreren behandeln, nicht als Begründung, die anderen zu überspringen.

Wer sich sorgen sollte und was zu tun ist

Die meisten Leser müssen sich keine schlaflosen Nächte machen. Wer Ransomware oder Phishing im Blick hat, findet diese Forschung weit unten auf der Liste. Relevant ist sie für den kleinen Kreis von Systemen, bei denen Isolation die wichtigste Schutzmaßnahme ist: Schlüsselverwaltung, sensible Industrie- oder Regierungsnetze, alles, dessen Preisgabe katastrophal wäre.

Für diese Fälle plädieren wir für drei Gewohnheiten. Erstens: physische Seitenkanäle ins Bedrohungsmodell aufnehmen, neben Netzwerk- und USB-Kanälen. Zweitens: Entfernung und Abschirmung bedenken. Diese Angriffe setzen einen Empfänger in der Nähe voraus, es kommt also darauf an, wer sich nähern kann. Drittens: in Erkennung investieren. Ein IEEE-Paper baut ein Labor mit preisgünstiger Hardware auf, gerade weil es keine öffentlich verfügbaren Datensätze zur Erkennung von RAM-basierter Funk-Exfiltration gab. Das zeigt, dass die Verteidiger bei den verfügbaren Daten hinter den Angreifern zurückliegen und die Überwachung noch unausgereift ist.

Es gibt zudem eine leisere Lehre über Selbstüberschätzung. „Air-Gapped“ dient in Audits oft als Gesprächsende. Es sollte der Beginn einer Frage sein: getrennt wovon, und gegen wen?

Unser Fazit

Behalten Sie Ihre Air Gaps. Sie bleiben eines der günstigsten Mittel, die meisten Angreifer aus dem Spiel zu nehmen. Aber nennen Sie sie nicht länger Garantien. Ist ein System wertvoll genug, um es zu isolieren, ist es auch wertvoll genug, um zu fragen, wie es dennoch mit jemandem in der Nähe sprechen könnte, der einen Empfänger hält. Die Antwort von RAMBO ist unbequem: leichter, als es Ihnen lieb ist.