Firmware

Firmware is de permanente software die is ingebed in de hardware van een apparaat en de basisfuncties aanstuurt. Het vormt de brug tussen de hardware en de hogere softwarelagen en bepaalt hoe een apparaat opstart, communiceert en zijn kernfuncties uitvoert. Firmware zit in vrijwel elk elektronisch apparaat, van routers en printers tot industriele controlesystemen, medische apparatuur en IoT-apparaten.

Vanuit cybersecurityperspectief is firmware een kritiek aandachtspunt. Omdat firmware diep in de hardware is verankerd en vaak moeilijk te updaten is, vormt het een aantrekkelijk doelwit voor aanvallers. Kwetsbaarheden in firmware kunnen leiden tot volledige controle over een apparaat, en traditionele beveiligingstools zoals antivirussoftware kunnen firmware-level aanvallen vaak niet detecteren. Dit maakt firmware-beveiliging tot een van de meest onderschatte maar ook meest impactvolle onderdelen van een beveiligingsstrategie.

Hoe werkt firmware?

Firmware wordt opgeslagen in niet-vluchtig geheugen op het apparaat, zoals ROM, EEPROM of flash-geheugen. Wanneer je een apparaat inschakelt, is firmware het eerste stuk software dat wordt uitgevoerd. Het initialiseert de hardwarecomponenten, voert een zelftest uit en maakt het apparaat gereed voor gebruik. Bij een computer is het BIOS of UEFI een bekende vorm van firmware die het opstartproces beheert.

In tegenstelling tot reguliere software, die je eenvoudig kunt installeren en verwijderen, is firmware nauw verweven met de hardware waarvoor het is ontworpen. Het is specifiek geschreven voor de processor, het geheugen en de communicatie-interfaces van dat ene apparaat of die ene apparaatfamilie. Dit betekent dat firmware-updates zorgvuldig moeten worden ontwikkeld en getest, omdat een foutieve update het apparaat onbruikbaar kan maken.

Het updateproces van firmware, ook wel flashing genoemd, vervangt de bestaande firmware door een nieuwe versie. Bij veel apparaten vereist dit een specifieke updateprocedure die niet altijd geautomatiseerd verloopt. Sommige apparaten, met name oudere IoT-apparaten en industriele systemen, bieden helemaal geen mogelijkheid om firmware bij te werken. Dit betekent dat ontdekte kwetsbaarheden in deze apparaten permanent aanwezig blijven.

Firmware opereert op een privilegeniveau dat dieper ligt dan het besturingssysteem. Dit betekent dat malware die zich in de firmware nestelt, kan overleven aan een herinstallatie van het besturingssysteem en zelfs aan het vervangen van de harde schijf. Firmware-rootkits zijn daarom bijzonder gevaarlijk en moeilijk te detecteren met conventionele beveiligingstools.

Wanneer heb je firmware-beveiliging nodig?

Firmware-beveiliging is relevant voor elke organisatie die elektronische apparaten gebruikt die zijn verbonden met het netwerk. Dit omvat niet alleen computers en servers, maar ook netwerkapparatuur zoals routers, switches en firewalls, en operationele technologie zoals SCADA-systemen en industriele controllers.

De noodzaak voor firmware-beveiliging neemt toe naarmate het aantal verbonden apparaten in je organisatie groeit. Met de opkomst van het Internet of Things zijn er miljoenen apparaten met firmware die potentieel kwetsbaar zijn. Van slimme thermostaten en beveiligingscamera's tot medische monitoren en productierobots, elk van deze apparaten is een potentieel toegangspunt voor aanvallers als de firmware niet adequaat is beveiligd.

Organisaties in sectoren met kritieke infrastructuur, zoals energie, water, transport en gezondheidszorg, moeten bijzondere aandacht besteden aan firmware-beveiliging. Een gecompromitteerd apparaat in deze sectoren kan niet alleen leiden tot dataverlies, maar ook tot fysieke schade of verstoring van essentiële diensten.

Bij de aanschaf van nieuwe apparatuur is het belangrijk om te evalueren hoe de fabrikant omgaat met firmware-updates en beveiligingspatches. Kies voor leveranciers die regelmatig updates uitbrengen, een responsible disclosure beleid hanteren en transparant zijn over bekende kwetsbaarheden in hun firmware. Het patchmanagement van firmware verdient dezelfde aandacht als het patchen van software en besturingssystemen.

Voordelen en beperkingen

Het voordeel van goed beveiligde firmware is dat het de fundamentele integriteit van je apparaten waarborgt. Wanneer firmware veilig is, kunnen aanvallers niet op het diepste niveau van een apparaat opereren. Secure boot-mechanismen in firmware zorgen ervoor dat alleen geautoriseerde software wordt geladen tijdens het opstartproces, wat bescherming biedt tegen bootkits en rootkits.

Firmware-updates kunnen kwetsbaarheden verhelpen en nieuwe beveiligingsfuncties toevoegen. Regelmatig updaten van firmware is een van de effectiefste maatregelen die je kunt nemen om de beveiliging van je apparatenpark te verbeteren. Dit geldt zowel voor kantoorapparatuur als voor operationele technologie.

De beperkingen van firmware-beveiliging liggen in de praktische uitvoering. Veel organisaties hebben onvoldoende zicht op alle firmware-versies die in hun netwerk draaien. Het inventariseren en bijhouden van firmware-versies is een tijdrovend proces dat vaak wordt verwaarloosd. Bovendien vereisen firmware-updates soms dat apparaten offline worden gehaald, wat in productieomgevingen niet altijd mogelijk is.

Een andere beperking is dat niet alle fabrikanten firmware-updates bieden voor de volledige levensduur van hun producten. Apparaten die end-of-life zijn bereikt, ontvangen geen updates meer maar worden vaak nog jarenlang gebruikt. Deze apparaten vormen een permanent beveiligingsrisico dat alleen kan worden gemitigeerd door ze te isoleren van het netwerk of te vervangen.

Tot slot is firmware-analyse een gespecialiseerd vakgebied. Het identificeren van kwetsbaarheden in firmware vereist specifieke kennis van embedded systemen, reverse engineering en hardware-architectuur. Niet elke organisatie beschikt over deze expertise, waardoor externe ondersteuning vaak noodzakelijk is voor diepgaande firmware-beveiligingsbeoordelingen.

De afhankelijkheid van de supply chain vormt een extra risico bij firmware. Veel fabrikanten gebruiken third-party componenten en open-source bibliotheken in hun firmware. Kwetsbaarheden in deze externe componenten worden niet altijd tijdig gepatcht, en de transparantie over welke componenten worden gebruikt is beperkt. Een Software Bill of Materials voor firmware kan helpen om inzicht te krijgen in de samenstelling en bijbehorende risico's van de firmware die je gebruikt.

Voor organisaties die te maken hebben met compliance-eisen is firmware-beveiliging een steeds belangrijker aandachtspunt. Regelgeving zoals de Cyber Resilience Act stelt eisen aan de beveiliging van producten met digitale elementen gedurende hun volledige levenscyclus. Dit omvat expliciet de verplichting om firmware-kwetsbaarheden te verhelpen en updates beschikbaar te stellen. Organisaties moeten kunnen aantonen dat ze hun firmware-risico's actief beheren.

Veelgestelde vragen

Wat is het verschil tussen firmware en software?

Firmware is permanent ingebouwde software die direct de hardware aanstuurt en zelden wordt gewijzigd. Software draait bovenop het besturingssysteem en kan eenvoudig worden geinstalleerd, bijgewerkt of verwijderd. Firmware opereert op een dieper niveau dan reguliere software.

Hoe update je firmware veilig?

Download firmware-updates alleen van de officiele website van de fabrikant. Controleer de integriteit van het updatebestand via checksums of digitale handtekeningen. Maak een backup van de huidige firmware voordat je de update uitvoert en volg de instructies van de fabrikant nauwkeurig op.

Kan malware zich verbergen in firmware?

Ja, firmware-malware zoals rootkits kan zich nestelen in de firmware van apparaten. Deze malware overleeft herinstallaties van het besturingssysteem en is vrijwel onzichtbaar voor traditionele antivirussoftware. Detectie vereist gespecialiseerde firmware-analysetools.

Hoe inventariseer je firmware in je netwerk?

Gebruik asset management tools die firmware-versies kunnen detecteren en rapporteren. Combineer dit met regelmatige netwerscans en een actueel configuratiemanagementregister. Prioriteer apparaten met netwerktoegang en apparaten in kritieke systemen.

Beveilig de firmware van jouw apparaten en vind gespecialiseerde beveiligingspartners via IBgidsNL voor een sterker beveiligingsfundament.