Chips unter Kontrolle?

Ein Forschungsteam in Bochum sucht nach Wegen, um Manipulation von Hardware leichter aufzudecken

Auf den Punkt gebracht

• Hardware lässt sich nicht wie Software nachträglich aktualisieren, heimliche Manipulationen lassen sich in komplexen Elektronikchips nur schwer erkennen.
• Sichere Chips: Ein Team am Max-Planck-Institut für Sicherheit und Privatsphäre sucht nach Wegen, Manipula­tionen durch physisches Öffnen von Chips zu erkennen und sichere, transparentere Chips zu entwickeln.
• Die Open-Source-Software HAL analysiert Netzlisten, also rekonstruierte Chip-Baupläne, und findet mögliche Hardware-Trojaner, also zusätzliche Schaltungen, die Sicherheits­lücken herbeiführen.
• Neue Verschlüsselungsverfahren: Eine andere Arbeitsgruppe entwickelt Open-Source-Chips, deren Funktion ohne aufwendiges Zerlegen einfach nachvollzogen werden kann. Durch minimale Anpassungen erweitern sie diese um quantensichere Schaltungen, also Verschlüsselungsverfahren, die auch vor Angriffen künftiger Quantencomputer schützen.

Text: Thomas Brandstetter

Sie sind überall und bleiben doch meistens unsichtbar: Integrierte Schaltkreise, besser bekannt als Chips, stecken heute in nahezu jedem technischen Gerät, das uns umgibt. Sie wecken uns am Morgen, navigieren uns durch den Verkehr, verbinden uns mit Freundinnen und Kollegen. Ohne die kleinen schwarzen Blöcke mit ihren silbernen Beinchen läuft in der modernen Gesellschaft so gut wie nichts mehr. Kein Internet. Kein Smartphone. Kein Verkehr. In den meisten Fällen nicht einmal der Kühlschrank oder die Waschmaschine.

Die Sicherheit der omnipräsenten Hardware gewinnt in unserer digitalen Gesellschaft zunehmend an Bedeutung. Denn während Softwarefehler beziehungsweise Risiken durch schädliche Programme oft mit Updates behoben werden können, sind Manipulationen auf Hardwareebene kritischer: Sie sitzen tief im System und sind viel schwerer zu entdecken. Werden die fest verdrahteten Schaltungen eines Chips manipuliert, kann das ihr Verhalten auf unsichtbare Weise ändern: Befehle werden verfälscht, Sicherheitsmechanismen umgangen. Und Vertrauen wird zur Illusion. 

Denn auch wenn die sprichwörtliche „Smoking Gun“ – also der unwiderlegbare Beweis für eine absichtlich eingebaute, heimliche Hintertür in einem Chip – bislang fehlt, tauchen immer wieder Hinweise darauf auf, dass staatliche Akteure auch in Hardwaresysteme eingreifen. So geriet bereits in den späten 1980er-Jahren die Schweizer Crypto AG unter Verdacht, gemeinsam mit der amerikanischen CIA und dem deutschen BND absichtlich geschwächte Verschlüsselungstechnik verkauft zu haben. Die später bekannt gewordene „Operation Rubikon“ bestätigte, dass beide Nachrichtendienste über Jahrzehnte die Firma kontrollierten. Und auch die Enthüllungen von Edward Snowden lieferten Hinweise auf Hardwareimplantate. So sollen im Rahmen der NSA-Methode „Interdiction“ elektronische Geräte während des Transports heimlich abgefangen, geöffnet und vor der Auslieferung mit Überwachungs- oder Manipulationskomponenten versehen worden sein.

Eine Frage des Vertrauens

Die aktuellen geopolitischen Verwerfungen und die viel beschworene digitale Souveränität Europas rücken die Sicherheit von Hardware zunehmend in den Fokus. Der alte Kontinent ist zwar stark im Designen von Chips, verfügt jedoch kaum über eigene Fertigungskapazitäten und ist für die Herstellung der Chips deshalb auf andere Länder angewiesen. „Praktisch alle Schaltkreise, von denen wir umgeben sind, und unsere gesamte digitale Funkinfrastruktur beruhen auf Chips, die in Taiwan, China, Südkorea oder zu einem kleinen Teil auch in den USA gefertigt wurden“, sagt Christof Paar, der am Max-Planck-Institut für Sicherheit und Privatsphäre in Bochum die Forschungsgruppe für Embedded Security leitet. Das setzt das Vertrauen voraus, dass diese Hersteller die Designs auch genau nach Plan umsetzen und nicht etwa auf staatlichen Druck versteckte Hintertüren in die Chips einbauen. Solche Manipulationen könnten es ermöglichen, aus der Ferne die Kontrolle über die Hardware zu übernehmen.

„Theoretisch könnte ein Hersteller wie Huawei in China einen „Kill-Switch“ in seine Chips einbauen und damit über ein geheimes Kommando alle Mobilfunkmasten mit Huawei-Hardware in Deutschland ausschalten“, sagt Paar. Gemeinsam mit seinen Kolleginnen und Kollegen versucht er deshalb, Sicherheitslücken in Computerhardware aufzuspüren und gleichzeitig Wege zu finden, ihre Hardware-Produktion vertrauenswürdiger zu machen – und zwar noch bevor etwas passiert. Eine so naheliegende wie wichtige Methode dafür ist das rigorose Testen neuer Chips. „Wenn eine Zertifizierungsstelle zum Beispiel eine Mobilfunk-Basisstation oder einen Smartphone-Chip bekommt, kann man untersuchen, ob man den Chip mit bestimmten Inputs in einen Zustand versetzen kann, in dem er auf einmal anders reagiert, als er soll“, erklärt Paar. Solche Auffälligkeiten könnten dann ein erster Hinweis auf eine Manipulation sein. Um die Funktionsweise eines unbekannten Chips allerdings wirklich bis ins letzte Detail zu verstehen, bedarf es eines deutlich drastischeren Mittels: das gewaltsame, physische Öffnen, um tief in sein Innerstes blicken zu können. Dabei handelt es sich um einen äußerst aufwendigen, mehrstufigen Vorgang, der höchste Präzision verlangt und damit oft an die Grenze des finanziell, aber auch des technisch Machbaren geht.

Es beginnt mit der Zerstörung des schützen­den schwarzen Gehäuses, das den eigentlichen Silizium-Kern umgibt, in dem sich Millionen winziger Transistoren befinden – die elementaren Schaltelemente des Chips. Darüber liegen zudem noch bis zu zwei Dutzend hauchdünne Schichten aus Metallbahnen, die die einzelnen Transistoren zu logischen Schaltungen verbinden.

Um den Schaltplan des Chips zu rekonstruieren, muss also der gesamte Aufbau Schicht für Schicht abgetragen werden. Und da die Strukturen viel zu klein sind, um sie einfach zu fotografieren, werden sie in der Regel mit einem Rasterelektronenmikroskop erfasst, was selbst für einen kleinen Chip mehrere Stunden pro Schicht dauern kann. Schließlich kann das Mikroskop jeweils nur einen winzigen Ausschnitt in der benötigten Auflösung aufnehmen und muss daher Tausende Einzelbilder pro Schicht anfertigen. „Das ist so, als ob man eine Landkarte erstellen muss, indem man viele kleine Fotos sauber aneinanderfügt“, erklärt Paar. In der Praxis ist dieser Prozess natürlich niemals perfekt.

Eine vollständige, physische Analyse eines modernen Mikroprozessors mit Milliarden von Transistoren, wie etwa der CPU eines Computers, ist ohnehin unrealistisch. Die Kosten und der Zeitaufwand sind astronomisch. Bei kleineren Chips wie etwa denen in Bankkarten, also solchen, die stark sicherheitsrelevant sind, ist das physische Öffnen und Analysieren zwar seit vielen Jahren etablierte Praxis. Doch auch in diesen vermeintlich „leichten“ Fällen gibt es Probleme. So sehen die Transistoren auf den Aufnahmen eines geöffneten Chips alle exakt gleich aus. Und auch wenn sich erkennen lässt, wo die Verbindungen zwischen ihnen verlaufen, sind die Funktionen, die sie ausführen, daraus nur sehr schwer abzuleiten. Bei herstellerspezifischer Hardware wird schließlich keine Gebrauchsanleitung mitgeliefert, die verraten würde, welcher Bereich auf dem Chip welche Funktion umsetzt. Einer von Paars Forschungsansätzen zielt deshalb darauf ab, Chips von vornherein so zu konstruieren, dass sie sich leichter analysieren und validieren lassen.

Verknüpft man einzelne Transistoren eines Chips auf eine bestimmte Weise, nennt man sie auch „Gatter“. Signale finden ihren Weg über zwei Eingänge in so eine Schaltung, die nur jeweils einen Ausgang hat. Liegen etwa an einem ODER-Gatter eine Eins oder Null an, gibt es eine Eins aus. An einem UND-Gatter müssen für dieselbe Ausgabe zwei Einsen anliegen. Solche Komponenten bilden das Fundament jeder digitalen Berechnung, sind aber auf verrauschten Mikroskopbildern schwer zu unterscheiden – ein Abgleich mit Original-Bauplänen wird damit erschwert. Würden die zugehörigen Bauteile von vornherein deutlich unterschiedlich aussehen, würde das auch die Manipulation eines Chips erheblich erschweren. „Wer einen Chip manipulieren will, muss letztlich bestimmte Gatter austauschen oder verändern – und genau diesen Vorgang gilt es durch geschicktes Design so schwer wie möglich zu machen“, sagt Paar.

Ist ein Chip geöffnet und die physische Schaltung freigelegt, ist das aber ohnehin erst der Anfang der eigentlichen Suche nach Schwachstellen und Manipulationen. Denn nun muss erst in mühsamer Kleinarbeit der Schaltplan, auch Netzliste genannt, rekonstruiert werden: ein riesiger, unstrukturierter Bauplan des Chips. Und selbst damit lässt sich noch nicht allzu viel anfangen. Diese Netzliste enthält zwar Informationen zu einzelnen Transistoren und ihren Verbindungen. Es fehlt allerdings immer noch jegliche Beschriftung oder Erklärung, welche Funktionen sie erfüllen. Um aus der Netzliste die Funktionsweise eines ganzen Chips abzuleiten, haben Paar und seine Kollegen deshalb eine eigene Open-Source-Software entwickelt: HAL.

Unbekannte Chips verstehen

HAL ist nicht nur eine Anspielung an den mächtigen Computer HAL 9000 aus dem Science-Fiction-Klassiker 2001: Odyssee im Weltraum, es steht auch für Hardware Analyzer. Die Software analysiert Netz­listen und hilft damit zu erkennen, ob ein Chip wirklich nur das tut, was er verspricht, und nicht etwa gegen die Interessen seines Nutzers handelt, indem er beispielsweise heimlich Daten nach außen schickt. „Die meisten Anwender von HAL sind Firmen, die im sicherheitsrelevanten Bereich arbeiten“, sagt Julian Speith, der als Postdoc in Paars Gruppe an der Entwicklung der Software beteiligt war. „Wir hatten beispielsweise Anfragen von staatlichen Forschungslaboren und Behörden.“

Ein wichtiger Anwendungsfall für HAL ist die Suche nach Hardware-Trojanern. Solche vorsätzlich in ein elektronisches Bauteil integrierte Schaltungen ermöglichen einen unbefugten Zugriff, um etwa vertrauliche Daten des Nutzers auszuspionieren. Bisher hat HAL noch keine solche Manipulation entdeckt. Diese wäre aber auch extrem schwer zu finden, da es kein typisches Muster gibt, nach dem man gezielt suchen könnte. Um ihre Software zu testen, haben die Köpfe hinter HAL deshalb selbst einen virtuellen Chip ent­worfen und absichtlich eine zusätzliche Leitung eingefügt, die HAL finden soll. Dieses verborgene Bauteil leitet unter ganz bestimmten Bedingungen einen geheimen kryptografischen Schlüssel an den Ausgang des Chips. „Wenn Angreifer wissen, wie sie diese Funktion aktivieren können, können sie den Schlüssel einfach am Ausgang ablesen“, erklärt Speith. „Das ist ein Standardszenario in der Forschung zu Hardware-Trojanern.“ HAL ist aber bewusst nicht als vollautomatischer Schwachstellen-Scanner konzipiert, denn es gibt zu viele mögliche Trojaner dieser Art, die zu berücksichtigen wären. Seine Stärke liegt darin, Analystinnen oder Analysten die relevanten Stellen im Chip zu zeigen. Die eigentliche Sicherheitsbewertung – also die Frage, ob eine Unregelmäßigkeit tatsächlich eine unabsichtliche Schwachstelle oder ein absichtlich eingebauter Trojaner ist – bleibt dem Menschen überlassen. „Am Ende ist HAL auch dafür da, das Thema der Öffentlichkeit zugänglicher zu machen, weil bisher das allermeiste hinter verschlossenen Türen passiert“, sagt Speith.

Fit für die Post-Quantum-Ära

Bösartige Akteure, die heimlich Chips verändern, sind nicht die einzige Gefahr für die Sicherheit moderner Hardware. Viele Algorithmen, die über eine bestimmte Abfolge von Logikgattern und anderen Bauteilen fest in Chips verdrahtet sind und dort Verschlüsselungsfunktionen ausführen, könnten durch die Quantencomputer der Zukunft schnell geknackt werden. „Quantencomputer sind zum Beispiel eine Bedrohung für End-to-End-Verschlüs­selungen von Messengerdiensten und die Sicherheitsmaßnahmen von Online-Finanztransaktionen“, sagt Hoang Nguyen Hien Pham. Als Doktorandin in der Gruppe für Cryptographic Engineering von Peter Schwabe am Max-Planck-Institut für Sicherheit und Privatsphäre arbeitet sie daran, in kryptografische Chips eingebrannte Algorithmen fit für die Zukunft zu machen.

Expertinnen wie Pham sprechen in diesem Zusammenhang von einer „Migration“ von klassischer Kryptografie hin zu Post-Quanten-Kryptografie. Die notwendigen Verschlüsselungsalgorithmen, an denen sich auch Quantencomputer in Zukunft die Zähne ausbeißen sollen, sind inzwischen erdacht und vom US-amerikanischen National Institute for Standards and Technology (Nist) standardisiert. Um sie auf Geräten wie Laptops, Smartphones oder auch auf Kreditkarten effizient zum Laufen zu bringen, muss allerdings auch noch deren Hardware angepasst werden. Institutionen wie das Nist oder auch die EU haben dafür Fristen bis um das Jahr 2030 gesetzt, und große Unternehmen wie Google, Amazon und Microsoft wollen ihre Migration in einem ähnlichen Zeitrahmen abschließen. Wenn dann tatsächlich die Meldung kommt, dass die Quantencomputer bereit sind, reale Systeme zu knacken, sollte das also kein allzu großer Schock für die Welt sein. „Es wird ein Meilenstein sein, auf den man gewartet hat, und wir sind bereits sehr gut darauf vorbereitet“, beruhigt Pham. „Viele Anwendungen wie beispielsweise WhatsApp oder Signal haben die Migration auch bereits auf den Weg gebracht.“

Im Grunde könnten die neuen, quanten­sicheren Algorithmen auch auf bestehenden sicherheitsrelevanten Hardwaresystemen laufen – allerdings nur sehr langsam und ineffizient. Völlig neue Chips dafür zu entwickeln, würde wiederum über das Ziel hinausschießen, da es mit enormem Aufwand verbunden und dementsprechend teuer wäre. Das Ziel von Pham und ihren Kolleginnen und Kollegen ist es deshalb, aktuelle Sicherheitschips mit möglichst kleinen Veränderungen an die Anforderungen der Zukunft anzupassen. „Wir fügen einem bereits existierenden Chip lediglich einige neue Befehle hinzu“, sagt die Forscherin. So soll auch gewährleistet werden, dass die Schaltkreise in der Zeit des Übergangs sowohl klassische als auch quantensichere kryptografische Algorithmen parallel unterstützen.

Als Grundlage für ihre Arbeit diente Pham und ihren Kolleginnen der Sicherheitschip OpenTitan, der etwa auf Laptops wie dem Chromebook die Grundlage für die Sicherheit des gesamten Gerätes bildet. Er überprüft schon beim Einschalten, ob die installierte Software unverändert ist, verwaltet kryptografische Schlüssel und stellt sicher, dass sich ein Gerät gegenüber anderen Systemen als echt ausweisen kann. All das läuft im Hintergrund, und obwohl es entscheidend ist für die Sicherheit, bekommen die Anwender in der Regel davon gar nichts mit. Während derartige Sicherheitschips traditionell von einzelnen Herstellern entwickelt wurden und ihre Funktionsweise weitgehend geheim blieb, verfolgt OpenTitan als Open-Source-Chip einen offenen Ansatz, wodurch Universitäten, Unternehmen und unabhängige Expertinnen und Experten die Schaltungen überprüfen und erweitern können. Phams Erweiterungen sind inzwischen etwa fester Bestandteil von Pavona, einem neuen, auf OpenTitan aufbauenden Projekt. „Jeder Pavona-Chip, der in Zukunft auf dieser Basis gefertigt wird, wird also automatisch auch unsere Schaltungen beinhalten, damit auch Post-Quanten-Kryptografie dort effizient läuft“, sagt die Forscherin.

Nutzerinnen und Nutzern rät Pham dazu, zunächst erst einmal ein grundlegendes Bewusstsein für die Sicherheit ihrer jeweiligen Anwendungen im Alltag zu entwickeln. Und natürlich sich, wenn möglich, für Apps zu entscheiden, die bereits für das Quantenzeitalter gerüstet sind. Denn auch wenn die Quantencomputer noch ein paar Jahre auf sich warten lassen, könnten Angreifer nach dem Motto „harvest now, decrypt later“ schon jetzt verschlüsselte Informationen abgreifen und so lange aufbewahren, bis die neue Technologie schließlich zur Entschlüsselung bereitsteht. „Setzen Sie lieber schon jetzt auf Post-Quanten-Kryptografie und dabei idealerweise auf Open-Source-Technologie“, lautet der Appell der Forscherin.

Denn gerade Offenheit gilt weithin als Schlüssel zu sicherer Hardware. Nur wenn Technologie öffentlich einsehbar ist, können Fachleute sie weltweit prüfen, um genau nachzuvollziehen, wie sie arbeitet – und schnell etwaige Sicherheitslücken melden. Das gilt nicht nur für Post-Quanten-Welt, sondern auch in Bezug auf die Gefahren, die von mutwillig manipu­lierter Hardware ausgehen: Je offener ein Design, desto schwieriger ist es, eine geheime Hintertür einzubauen. Oder wie Kryptograf Paar es zusammenfasst: „Transparenz sorgt für Vertrauen.“

Dieser Artikel ist in Heft 3/2026 des Max-Planck-Forschungsmagazins erschienen. (Verwendung nur nach Genehmigung!)