Die monatlich erscheinende Blogserie „das kleine 1×1 der sicheren digitalen Identitäten“ präsentiert Themenschwerpunkte rund um die Erzeugung, Verwaltung und den Einsatz digitaler Identitäten. Im Fokus diesen Monat: Sicherheitsaspekte des Secure Elements (SE), Host Card Emulation (HCE) und Trusted Execution Environment (TEE).
In diesem Monat erklären wir den Unterschied zwischen sogenannte On-Device und Off-Device Adversaries und mit welchen Angriffsvektoren man bei der Entwicklung und dem Einsatz von Sicherheitskomponenten, wie beispielsweise dem SE, TEE und HCE, rechnen muss.
- Die Betrachtung der Schutzwirkung der Sicherheitskomponenten SE, TEE und HCE (vgl. Punkt 24) muss mögliche Angreifer bzgl. des Grads des Zugriffs, den sie auf ein konkretes Gerät, also z.B. ein konkretes Smartphone haben, unterscheiden. (Die Kenntnisse und Fähigkeiten eines Angreifers müssen in konkreten Risikoanalysen und -bewertungen berücksichtigt werden, spielen aber hier für die Einschätzung der Schutzwirkung keine Rolle.) Es werden Angreifer, die direkten Zugriff auf das Gerät haben, also Angreifer auf dem Smartphone (On-Device Adversaries) von geräteexternen Angreifern (Off-Device Adversaries) unterschieden.
- Angreifer auf dem Endgerät (On-Device Adversaries) können unterteilt werden in
- Angreifer auf Anwendungsebene,
- Angreifer auf Betriebssystem- bzw. Kernel-Ebene (Angreifer mit Root-Zugriff),
- Angreifer auf Hardwareebene (Angreifer mit Möglichkeit der Hardwaremanipulation).
- Geräteexterne Angreifer (Off-Device Adversaries) sind Angreifer, die in keine der in Punkt 46 genannten Kategorien fallen. Diese Art von Angreifern manipuliert die Kommunikation und versucht, Schlupflöcher in der Sicherheit des Geräts zu finden. Das Ziel ist es, Schadsoftware oder bösartigen Code in das Gerät einzuschleusen, der dann dem geografisch entfernten Angreifer die Kontrolle über das Gerät geben könnte.
Im kommenden Monat wird es um Trusted Service Management Systems (TSMS) gehen, wie sie funktionieren und wie sie im Umfeld digitaler Identitäten zum Einsatz kommen könnten.