Zertifiziert

BSI: Smartphone mit Snapdragon 855 dient als "Smartcard"

Authen­tifi­zierung per Pass­wort oder Soft­ware? In vielen Berei­chen ist das zu unsi­cher. Früher gab es dazu Smart­cards oder Trusted-Plat­form-Module. Heute kann der Snap­dragon 855 im Smart­phone das über­nehmen.
Von

Das Sicherheitselement des Qualcomm Snapdragon 855 wurde vom BSI zertifiziert Das Sicherheitselement des Qualcomm Snapdragon 855 wurde vom BSI zertifiziert
Bild: Qualcomm
Im elek­troni­schen Geschäfts­verkehr oder in anderen Berei­chen, wo die Iden­tität eines Absen­ders zwei­fels­frei fest­gestellt werden muss, sind Authen­tifi­zierungs­vorgänge per Soft­ware oder Pass­wort mögli­cher­weise zu unsi­cher. Schon vor Jahren hat teltarif.de ausge­führt, dass letzt­endlich nur hard­ware­ba­sierte Verschlüs­selungs- und Absi­cherungs­methoden ein ausrei­chend hohes Sicher­heits­niveau bieten. Soft­ware kann fehler­haft sein oder ausge­trickst werden - und Pass­wörter lassen sich mögli­cher­weise erraten oder abphishen.

Im Geschäfts­kunden­bereich gibt es deswegen schon länger Smart­cards oder spezi­elle Chips für die Absi­cherung von Systemen. Busi­ness-PCs und -Laptops haben mitunter ein Trusted Plat­form Module einge­baut, mit dem beispiels­weise die Fest­platte verschlüs­selt werden kann. Das Linux-Smart­phone Librem 5 soll ein Beispiel für ein Smart­phone mit inte­grierter Smart­card werden.

Sicher­heits­element des Snap­dragon 855 zerti­fiziert

Das Sicherheitselement des Qualcomm Snapdragon 855 wurde vom BSI zertifiziert Das Sicherheitselement des Qualcomm Snapdragon 855 wurde vom BSI zertifiziert
Bild: Qualcomm
Das Bundesamt für Sicher­heit in der Infor­mati­onstechnik (BSI) hat nun bekannt gegeben, dass eine vergleich­bare Lösung in Zukunft mögli­cher­weise viel einfa­cher in Smart­phones nutzbar sein könnte.

Es geht schlicht und ergrei­fend um den Smart­phone-Chip Snap­dragon 855 von Qual­comm. Der Chip hat ein Sicher­heits­element mit der Bezeich­nung SPU230 inte­griert. Dieses hat das BSI nun offi­ziell zerti­fiziert. Durch­geführt wurde die Prüfung bei der Telekom-Tochter T-Systems. Die Zerti­fizie­rung des aus Hard­ware, Firm­ware und Betriebs­system bestehenden Sicher­heits­elements erfolgte laut dem BSI nach Common Criteria (ISO/IEC 15408) EAL 4 + ALC_DVS.2 und AVA_VAN.5.

Damit sei erst­malig ein Sicher­heits­element nach Common Criteria zerti­fiziert worden, das in einem Breit­band­prozessor für mobile Endge­räte wie Smart­phones inte­griert ist. Mobilen Platt­formen stehe somit ein "Sicher­heits­anker" zur Verfü­gung, dessen Sicher­heits­niveau mit dem einer Smart­card vergleichbar sei, teilt das BSI mit.

Konkrete Anwen­dungs­fälle der Technik

Die Common Criteria sind ein inter­natio­naler Stan­dard (ISO/IEC 15408) für die Zerti­fizie­rung von IT-Sicher­heits­produkten mit trans­parenten Zerti­fizie­rungs­ergeb­nissen. Die Evalu­ierungs­stufe EAL 4 + ALC_DVS.2 AVA_VAN.5 soll laut der Behörde eine Wider­stands­fähig­keit des Produktes gegen Angreifer mit hohem Angriffs­poten­zial bestä­tigen.

Ein SoC wie der Snap­dragon 855 und andere Smart­phone-Chips verei­nigt sämt­liche Funk­tionen eines Systems auf einem Chip, um klei­nere Baugrößen und eine höhere Perfor­mance zu errei­chen. Dadurch können beim Bau von Smart­phones Kosten und der Ener­giever­brauch gesenkt werden. Funk­tionen, für die früher mehrere Chips benö­tigt wurden, lassen sich heute auf einem einzigen Chip inte­grieren. Außer der klas­sischen CPU gehören dazu beispiels­weise noch Signal­prozessor, Grafik­einheit, Sicher­heits­element sowie verschie­dene Mobil­funk­modems.

BSI-Präsi­dent Arne Schön­bohm erläu­tert, bei welchen konkreten Anwen­dungs­fällen das nun zerti­fizierte Sicher­heits­element des Snap­dragon 855 zum Einsatz kommen kann: "Smart­phones und Tablets werden heute für eine Viel­zahl von Anwen­dungen genutzt, bei denen hohe Sicher­heits­anfor­derungen gelten, beispiels­weise im Zahlungs­verkehr, zur Spei­cherung von Pass­wörtern, Schlüs­seln und sensi­blen Daten wie Gesund­heits­daten oder zur 2-Faktor-Authen­tisie­rung." BSI-Zerti­fikate würden im Rahmen inter­natio­naler Aner­kennungs­veein­barungen sogar welt­weit aner­kannt, erklärt Schön­bohm.

Mehr zum Thema Bundesamt für Sicherheit in der Informationstechnik (BSI)