Windows-Log-in per Firewire-Tool

Der Sicherheitsexperte Adam Boileau hat das Tool "winlockpwn" veröffentlicht, mit dem sich per Firewire-Port der Windows-Log-in ohne Kenntnis des Anmeldepasswortes umgehen lässt. Das Programm manipuliert die Log-in-Routinen im Arbeitsspeicher des laufenden Systems über den direkten Speicherzugriff (DMA), den eine Firewire-Verbindung ermöglicht. Das Tool unterstützt bislang Windows XP mit SP2 als Zielsystem.

"Wer physikalischen Zugang zu einem System hat, kann auf viele Arten gewinnen", doch mit winlockpwn geht es "schnell und einfach", schreibt Boileau auf seiner Website. Das Tool und das zugrunde liegende Problem sind allerdings nicht neu. Bereits 2006 hatte der Neuseeländer auf der Sicherheitskonferenz Ruxcon einen Vortrag über die Firewire-Lücke gehalten. Darin erläuterte er auch den Trick, der für den Zugriff nötig ist: Die Software gaukelt dem anvisierten OS mit einer kopierten Firewire-Kennung vor, sie sei ein Gerät, das DMA benötigt, etwa ein iPod.

Microsoft sieht im Firewire-DMA kein Sicherheitsproblem, da es Teil der IEEE-1394-Spezifikation ist. Laut Boileau denke man deshalb in Redmond auch nicht darüber nach, dies zu verhindern. Der Direktzugriff ist prinzipiell unabhängig vom eingesetzten Betriebssystem; auch beispielsweise Linux und Mac OS X haben mit dem Problem zu kämpfen. Auf sicherheitskritischen Systemen sollte daher ein ungenutzter Firewire-Port grundsätzlich deaktiviert werden.

Siehe dazu auch:

• Firewire, DMA & Windows, Projektseite von Adam Boileau
• Hit By A Bus: Physical Access Attacks with Firewire, Ruxcon-Vortrag zur Schwachstelle

(cr)