Verdeckter Zeitkanal

Ein verdeckter Zeitkanal ist eine Unterklasse des verdeckten Kanals, bei der Informationen nicht in gespeicherten Werten reisen, sondern im zeitlichen Verlauf der Ereignisse selbst. Zwei Prozesse, ein Sender und ein Empfänger, teilen sich eine Ressource, deren Nutzung sichtbar ist: eine Netzwerkverbindung, eine Festplatte oder ein Prozessor. Der Sender kodiert die Nachricht, indem er verändert, wann Ereignisse stattfinden oder wie lange sie dauern. Der Empfänger beobachtet den Ereignisstrom, misst die Abstände und dekodiert die Nachricht. Kein Byte wird an einer Stelle geschrieben, die ein anderer Prozess liest. Das Signal existiert nur im Muster der Zeitpunkte.

Das Konzept folgt der allgemeinen Geschichte verdeckter Kanäle. Die Forschung zum Confinement-Problem in den frühen 1970er-Jahren zeigte, dass ein Prozess Informationen abfließen lassen kann, auch wenn ihm Kommunikation formal untersagt ist. Spätere Kriterien für vertrauenswürdige Systeme, etwa das US-amerikanische TCSEC, machten die Analyse verdeckter Kanäle, Zeitkanäle eingeschlossen, zu einem Pflichtbestandteil der Bewertung hochgesicherter Systeme. Formale Bewertungen verlangen meist nicht, Zeitkanäle zu beseitigen, sondern sie zu identifizieren, ihre Bandbreite abzuschätzen und ihre Kapazität dort zu verringern, wo es darauf ankommt.

Zwei Eigenschaften machen diese Klasse besonders. Erstens haben beide Seiten in der Regel legitimen Zugriff auf die gemeinsame Ressource. Gewöhnliche Zugriffskontrolle kann den Kanal deshalb nicht schließen, denn die Ressource erfüllt weiter ihre Aufgabe und trägt dabei das verborgene Signal. Zweitens verschlechtert Rauschen das Signal. Jede zufällige Verzögerung zwischen Sender und Empfänger, etwa Netzwerk-Jitter, Scheduling-Unterbrechungen oder gleichzeitige Last, kann ein Bit verfälschen. Deshalb sind Zeitkanäle weit langsamer als Speicherkanäle, und Sender opfern Geschwindigkeit für Redundanz.

Sender und Empfänger vereinbaren vorab ein Kodierungsschema und nutzen dann einen gemeinsamen Ereignisstrom als Träger. Die gängigen Kodierungen:

Jeder beobachtbare Ereignisstrom, den zwei Parteien beeinflussen und messen können, lässt sich als Zeitkanal nutzen. Die bekanntesten Familien:

• Netzwerkverkehr: modulierte Abstände im TCP/IP-Verkehr, das Tempo von DNS-Anfragen oder Ping-Serien. Verschlüsselung verbirgt diesen Rhythmus nicht, denn die Daten liegen im Timing und nicht im Inhalt.
• Speichergeräte: Ein Prozess hält den Festplattenkopf über einer Spur, ein anderer misst die Suchzeit. Das ist das Standardbeispiel aus der Forschungsliteratur.
• Prozessor und Speicher: Prozesse verlangsamen einander messbar. Auf diesem Effekt beruhen mehrere moderne mikroarchitektonische Angriffe.
• Interaktive Ereignisströme: Tastenanschlagabstände, Mausereignisse oder Zeiten der Druckerwarteschlange. Jeder Strom mit Zeitstempeln, den auch ein Außenstehender beobachten kann, lässt sich modulieren.

Ein verdeckter Speicherkanal hinterlässt prüfbare Spuren: ein Headerfeld mit seltsamem Wert, ein Paket mit ungewöhnlicher Länge oder ein geändertes Dateiattribut. Ein Zeitkanal hinterlässt keinen Wert. Das Signal steckt nur in Unterschieden zwischen Ereigniszeiten, und eine Inhaltsprüfung sieht diese Unterschiede nicht, weil der Inhalt selbst völlig normal ist.

Normale Systeme schwanken ohnehin stark im Timing: Netzwerk-Jitter, Überlast, menschliche Pausen. Ein Zeitkanal versteckt sich in diesem Rauschen, deshalb muss die Erkennung statistisch sein. Man legt eine Basislinie für die Verteilung der Zeitabstände zwischen Ereignissen an und markiert auffällige Regelmäßigkeit oder unwahrscheinliche Muster. Das Fehlen eines Zeitkanals zu beweisen ist praktisch unmöglich. Das realistische Ziel ist, seine Bandbreite niedrig und seine Muster so sichtbar zu halten, dass sie unbrauchbar werden.

Bandbreite gegen Unauffälligkeit ist der entscheidende Zielkonflikt. Ein Kanal, der Bits schnell überträgt, erzeugt einen unnatürlichen Rhythmus, der sich vom Verhalten von Menschen und Anwendungen abhebt. Ein geduldiger Sender, der nur wenige Bits pro Minute schafft, geht in der normalen Schwankung unter, braucht aber Tage für eine relevante Datei. Verteidiger nutzen denselben Zielkonflikt: Ratenlimits und zusätzliches Rauschen zwingen den Sender in den langsamen Modus, während Basislinien und Anomalieerkennung den schnellen Modus teurer machen.

Da der Träger legitime Aktivität ist, kombinieren Gegenmaßnahmen statistische Beobachtung mit Maßnahmen, die den Kanal selbst schwächen:

• Statistische Verkehrsanalyse: erkennt metronomartige Regelmäßigkeit, die echte Nutzer nicht erzeugen.
• Erkennung von Verhaltensanomalien: Basislinien je Nutzer erfassen anhaltende Abweichungen langsamer Übertragungen.
• Ratenbegrenzung: begrenzt die Ereignisfrequenz, sodass große Übertragungen unpraktisch langsam werden.
• Rausch- und Scheduling-Kontrollen: randomisiertes Scheduling erschwert dem Empfänger das Messen des Signals.
• Reduzierung gemeinsamer Pfade: Allowlists und Egress-Filter entfernen die Ressourcen, die der Kanal braucht.

Die statistischen Regeln der Funktion Erkennung von Insider-Bedrohungen arbeiten mit derselben Art aufgezeichneter Ereignisse. Die Administrator-Konsole kann gesendete Netzwerkpakete in Intervallen von einer Sekunde bis zu zehn Minuten gruppieren, sodass eine kurze Spitze vor einer ruhigen Grundlinie sichtbar wird.

Beginnen Sie bei den Kanälen, die einen verborgenen Rhythmus tragen könnten: Netzwerk-, Speicher- und interaktive Ereignisströme. Basislinien brauchen eine Phase normaler Aktivität zum Lernen, daher sollten sie vor einem Vorfall eingerichtet werden und nicht danach.

Meist nutzt jemand, der bereits im System ist, einen Zeitkanal: eine Insider-Bedrohung mit legitimem Zugriff. Deshalb muss die Überwachung die Kanäle abdecken, die Menschen tatsächlich nutzen.

Weiterlesen: Technisches Informationsleck: was ist das und wie schützt man sich davor?.