Clientseitige Sicherheit am Beispiel der Playstation 3

Clientseitige Sicherheit am Beispiel der Playstation 3

Marc Ruef
by Marc Ruef
time to read: 4 minutes

Die Playstation 3 von Sony ist eine der ganz grossen Nextgen-Konsolen. Seit ihrem Erscheinen im November 2006 sind rund 42 Millionen Geräte verkauft worden. Trotz dieser hohen Beliebtheit des Systems dauerte es bis Mitte 2010, bis ein Jailbreak erschienen ist. Über einen USB-Modchip sah man sich bis zur Firmware 3.41 in der Lage, Homebrew-Software ausführen zu lassen.

Doch der echte Durchbruch des PS3-Jailbreaking kam im im Dezember 2010 zustande. Die Gruppe fail0verflow kündigte am 27C3 an, dass sie den Private Key von Sony für das Signieren von Code auslesen konnten. Durch dieses Reversing war es von nun an möglich, eigenen Code zu schreiben und zu signieren, wodurch er als legitime Applikation auf einer PS3 ausgeführt werden kann. Aufgrund der Struktur dieser Schwachstelle wird es für Sony sehr schwer werden, dieses Problem mit einem üblichen Patch zu beheben. Stattdessen, wird in erster Linie versucht durch juristische Schritte dagegen vorzugehen.

Zwischenzeitlich mehren sich die Meldungen, dass durch gemoddete Konsolen unliebsame Hacks und Cheats Einzug halten. Im offiziellen Forum von Infinity Ward wird darüber berichtet, dass der Beitritt eines gehackten Modern Warfare 2-Servers zum Verlust sämtlicher Statistiken führen kann:

Hacking is getting worse and worse, i am stunned theres little to no discussion here. one of my accounts is already destroyed by joining a hacked server filling all my challenges [sic]

Dies ist natürlich ein unschöner Effekt, der das öffentliche Online-Spiel des populären Shooters nahezu zerstört (es wird das Spielen auf privaten Servern empfohlen). Trotzdem zeigt dieser Zustand auf, dass Infinity Ward einmal mehr die Sicherheitsmechanismen auf den Client – in diesem Fall die Konsolen – ausgelagert hat. Scheinbar funktioniert das Generieren und Synchronisieren der Spiel-Statistiken wie folgt:

  1. Benutzer spielt das Spiel und generiert damit seine Statistik auf dem Client (Konsole).
  2. Die Statistiken werden von der Konsole zum Server hochgeladen (überschrieben) und werden damit für alle einsehbar.

Sieht sich nun ein Spieler in der Lage diese Statistiken vor dem Upload zu manipulieren, kann direkter Einfluss auf die Weiterverarbeitung ausgeübt werden. Dadurch lassen sich bessere Statistiken erstellen (Überschreiben) oder diese zurücksetzen (Löschen).

Wäre die Sicherheit dieses Systems nicht auf den Client ausgelagert worden, sondern stattdessen ganzheitlich auf dem Server integriert gewesen, wäre dieser Angriff nicht möglich gewesen. Einmal mehr zeigt dies auf, dass clientseitige Sicherheit nicht funktionieren kann. Denn sobald der Angreifer die vollständige Kontrolle über seinen Client erlangen kann – und dies wird früher oder später der Fall sein -, wird er sämtliche Sicherheitsmechanismen umgehen können.

Dieses Axiom gilt für alle client/server-basierten Anwendungen. Traditionell ist dieses Paradigma bei Webapplikationen zu berücksichtigen. Aber auch bei Apps auf Mobiltelefonen behält es seine Richtigkeit. Die skizzierten Schwierigkeiten für Spielkonsolen sind nur eine abgewandelte Form des immerwährend gleichen Problems.

About the Author

Marc Ruef

Marc Ruef has been working in information security since the late 1990s. He is well-known for his many publications and books. The last one called The Art of Penetration Testing is discussing security testing in detail. He is a lecturer at several faculties, like ETH, HWZ, HSLU and IKF. (ORCID 0000-0002-1328-6357)

Links

You need support in such a project?

Our experts will get in contact with you!

×
Specific Criticism of CVSS4

Specific Criticism of CVSS4

Marc Ruef

scip Cybersecurity Forecast

scip Cybersecurity Forecast

Marc Ruef

Voice Authentication

Voice Authentication

Marc Ruef

Bug Bounty

Bug Bounty

Marc Ruef

You want more?

Further articles available here

You need support in such a project?

Our experts will get in contact with you!

You want more?

Further articles available here