Klipper on Security

In den Briefings der diesjährigen BlackHat habe ich wieder neue Zahlen für den Business-Case Information Security gefunden. Ich hatte in der Vergangenheit bereits mehrfach zu wirtschaftlichen Fragestellungen geschrieben. Heise.de hatte über einen Vortrag auf der BlackHat berichtet und dabei Christopher Tarnovsky zitiert:

“Tarnovsky nennt rund 200.000 US-Dollar als erforderliche Investition in Laborgeräte – was aber für ein neues Geschäftsmodell sicherlich keine unüberwindbare Hürde bedeuten dürfte.”

Bei der Investition handelt es sich um Equipment für einen sehr aufwändigen Angriff auf TPM-Chips. Er musste dazu in einem Labor den Chip aus dem Gehäuse extrahieren (chemisch!) und sich durch die verschiedenen Ebenen des Chips arbeiten (offenbar nicht ganz so einfach). Nach einer Analyse der Signalverläufe auf dem Chip konnte er schon sechs(!) Monate später Zugriff auf den Datenbus des Prozessors erhalten. Nach diesem Forschungsaufwand habe das Auslesen eines Lizenzschlüssels aus einer XBox 360 jedoch nur noch sechs Stunden gedauert.

Wir nehmen für eine Beispielrechnung das ROISI-Modell von Adrian Mizzi, als Teil eines Business-Case Information Security:

200.000$ (CTB)
>
5000$ für Laptop mit BitLocker und TPM-Chip (B+F)
< (nicht mehr wie 1/3)
5000$ bei gestohlenem Laptop (R) + 250.000$ Wert der geschützten Information (L)

CTB = Cost To Break
B   = Cost To Build
F   = Cost To Fix
R   = Cost To Rebuild
L   = Loss

Im ersten Ansatz sind die ROISI-Ungleichungen erfüllt. Das bedeutet, dass die gewählte Schutzmaßnahme wirtschaftlich ist. Ist sie aber auch sicher?

200.000$ (CTB)
<
250.000$ Wert der mit TPM-Chip geschützten Information (L)

Das schließt den Kreis und es wird klar, dass ein Angriff lohnenswert ist. Die Schutzmaßnahme ist also nicht sicher. Der Angreifer spart sich durch den Angriff 50.000$ und das Labor kann danach für weitere Angriffe eingesetzt werden und weiteren Profit liefern. Sie können das Rechenspiel gerne für einen Geheimdienst durchgehen, der sich über die Steuereinnahmen finanziert, die entstehen, wenn er die gestohlenen Informationen an die einheimische Wirtschaft weiter gibt.

Das ROISI-Modell liefert damit auch einen Hinweis darauf, dass das bedrohte Unternehmen ca. 80.000$ für die Absicherung (B+F) der Information (L) investieren kann, ohne dabei unwirtschaftlich zu werden. Dieser Hinweis impliziert jedoch, dass der Angriff ein Mal in drei Jahren durchgeführt wird und 80.000$ die Summe aller Schutzmaßnahmen darstellt. Ab diesem Punkt wird der Business-Case schnell komplizierter. Er funktioniert jedoch wunderbar, wenn die weiteren Schutzmaßnahmen die CTB nach oben treiben und sich der Angriff einfach nicht mehr lohnt.

Die Analysergebnisse nach der ROISI-Methode ergänzen damit andere Techniken zur Wirtschaftlichkeitsbetrachtung. Gemeinsam können sie als Business-Case dargestellt werden: