Firmware: de onzichtbare software die hardware laat werken
Elk elektronisch apparaat dat iets "doet" — een wifi-router, een smartwatch, de motor van een elektrische auto — heeft een klein stukje software nodig om de hardware aan te sturen. Dat stukje heet firmware: code die permanent of semi-permanent in een chip is opgeslagen en die bepaalt hoe het apparaat zich gedraagt zodra je het aanzet. Zonder firmware is een chip een dom stuk silicium; met firmware weet het apparaat wat het moet doen.
Een handige vergelijking is die met het zenuwstelsel van een dier. De hardware is het lichaam — spieren, botten, organen — maar zonder zenuwstelsel gebeurt er niets zinvols. Firmware is dat laagje besturing dat vlak bij de hardware zit en de eerste, meest basale instructies geeft: hoe het scherm moet oplichten, hoe de motor moet draaien, hoe de wifi-chip een verbinding moet opzetten. Pas daarna komt er ruimte voor "grotere" software, zoals een app of besturingssysteem, die op die basis voortbouwt.
Wat is het precies?
Firmware is een tussenvorm tussen hardware en software. Het is net als gewone software geschreven in programmeercode, maar het is nauw verweven met specifieke hardware en zit meestal opgeslagen in een apart type geheugenchip: ROM (read-only memory, alleen lezen), EEPROM (elektrisch herschrijfbaar geheugen) of, tegenwoordig het meest gangbaar, flashgeheugen. Dat laatste is hetzelfde soort geheugen dat ook in usb-sticks zit, en het grote voordeel is dat je flashgeheugen kunt overschrijven zonder de chip te vervangen.
Het bekendste voorbeeld van firmware is de BIOS (Basic Input/Output System) die vroeger in elke pc zat, en die inmiddels grotendeels is vervangen door UEFI (Unified Extensible Firmware Interface). Dit is het allereerste programma dat draait zodra je een computer aanzet: het test of alle onderdelen werken, en start vervolgens de bootloader op, een klein programma dat op zijn beurt het eigenlijke besturingssysteem — Windows, macOS of Linux — inlaadt. Zonder deze firmware zou een computer niet eens weten dat er een harde schijf of geheugenchip aanwezig is.
Buiten computers zit firmware vrijwel overal: in de motorregelaar van een auto, in de printplaat van een magnetron, in een wifi-router, in een pacemaker. Dit soort kleine, gespecialiseerde firmware heet vaak embedded firmware, omdat hij is ingebed (embedded) in één specifiek apparaat met één specifieke taak. Steeds meer van deze apparaten kunnen hun firmware ook bijwerken via internet, een proces dat "over-the-air" (OTA) update wordt genoemd: de fabrikant stuurt nieuwe code naar het apparaat, dat deze installeert zonder dat iemand er fysiek een kabeltje voor hoeft aan te sluiten.
Wat wil men ermee bereiken?
De belangrijkste reden dat firmware bestaat, is flexibiliteit. Een chip in silicium ontwerpen en produceren is duur en tijdrovend; als elk gedrag rechtstreeks in de hardware zou moeten worden "gebakken", zou elke kleine aanpassing een compleet nieuwe chip vereisen. Door het gedrag in firmware te vangen, kunnen fabrikanten dezelfde hardware voor meerdere doeleinden gebruiken en achteraf nog fouten herstellen.
Een tweede doel is veiligheid en onderhoud. Kwetsbaarheden in firmware kunnen ernstige gevolgen hebben, omdat firmware vaak met verhoogde rechten draait en dicht bij de hardware zit. Met firmware-updates kunnen fabrikanten zulke gaten dichten nadat een product al bij de klant staat, zonder dat er een terugroepactie nodig is.
Ten derde is er een commercieel motief: fabrikanten kunnen via firmware-updates nieuwe functies toevoegen aan bestaand product, of juist functies vergrendelen achter een betaalmuur. Dat maakt firmware een strategisch instrument geworden, niet alleen een technisch detail.
Voorbeelden uit de praktijk
Tesla is het bekendste voorbeeld van een bedrijf dat firmware-updates als kernonderdeel van zijn productstrategie gebruikt. Sinds de introductie van de Model S in 2012 stuurt Tesla regelmatig over-the-air-updates naar zijn auto's, waarmee niet alleen bugs worden opgelost maar ook nieuwe functies worden toegevoegd — van aangepast rijgedrag tot volledig nieuwe features in de boordcomputer.
De keerzijde van slecht beveiligde firmware werd pijnlijk duidelijk met het Mirai-botnet in 2016. Deze malware infecteerde honderdduizenden IoT-apparaten — vooral ip-camera's en routers — door in te loggen met standaard wachtwoorden die in de firmware waren vastgelegd en nooit door gebruikers werden gewijzigd. Het resulterende botnet veroorzaakte grootschalige DDoS-aanvallen, onder meer tegen de DNS-provider Dyn, waardoor grote delen van het internet in de VS tijdelijk onbereikbaar werden.
Nog geraffineerder was Stuxnet, ontdekt in 2010, dat zich richtte op industriële besturingssystemen van Siemens die werden gebruikt in de Iraanse uraniumverrijkingsinstallatie in Natanz. De malware manipuleerde de programmeerbare logische controllers (PLC's) om centrifuges fysiek te beschadigen, terwijl operators op hun schermen normale waarden bleven zien. Het gold als een van de eerste voorbeelden van cyberwapens die fysieke schade konden aanrichten via firmware-achtige besturingssoftware.
Een heel ander soort strijd speelt bij John Deere, waar boeren en reparateurs al jaren botsen met de fabrikant over het recht om zelf firmware in tractoren te repareren of aan te passen. Deere versleutelt onderdelen van de firmware zodanig dat alleen erkende dealers reparaties kunnen uitvoeren, wat heeft geleid tot een breder "right to repair"-debat in de VS en de aankondiging in 2023 dat Deere boeren meer eigen reparatiemogelijkheden zou geven.
Tot slot is er coreboot, een open-source-alternatief voor de gesloten BIOS/UEFI-firmware die de meeste computers standaard gebruiken. Het project, dat teruggaat tot begin jaren 2000 (destijds onder de naam LinuxBIOS), staat voor het idee dat firmware net zo transparant en controleerbaar moet kunnen zijn als besturingssoftware, zodat gebruikers zelf kunnen controleren wat er precies gebeurt voordat hun besturingssysteem opstart.
Hoe ver is de techniek?
Op het gebied van pc's en servers is de overgang van het klassieke BIOS naar UEFI vrijwel voltooid; vrijwel alle nieuwe computers gebruiken tegenwoordig UEFI, dat onder meer Secure Boot ondersteunt — een mechanisme dat controleert of de bootloader en het besturingssysteem digitaal zijn ondertekend door een vertrouwde partij, om te voorkomen dat kwaadaardige code zich al voor het opstarten van het besturingssysteem nestelt.
Bij embedded apparaten en IoT is het beeld veel diverser en minder volwassen. Fabrikanten van goedkope apparaten — slimme stekkers, camera's, sensoren — investeren vaak beperkt in firmware-onderhoud, waardoor kwetsbaarheden lang open blijven staan of apparaten nooit een update krijgen. Dit "patch-gat" wordt algemeen gezien als een van de grootste zwakke plekken in de beveiliging van het "internet of things".
Een opkomende trend is de wens naar meer open en controleerbare firmware, gedreven door zowel beveiligingsoverwegingen als soevereiniteitsvraagstukken. Naast coreboot wordt in dit verband ook gekeken naar het open, royaltyvrije chipontwerp RISC-V, waarbij niet alleen de firmware maar ook de onderliggende processorarchitectuur open en inspecteerbaar is. Deze ontwikkeling staat echter nog in een relatief vroeg stadium; de meeste apparaten in de markt draaien nog altijd op gesloten firmware van gevestigde leveranciers.
Een blijvend obstakel is de toeleveringsketen (supply chain): firmware wordt vaak niet door de eindfabrikant zelf geschreven, maar door gespecialiseerde toeleveranciers of overgenomen uit generieke referentiecode. Dat maakt het moeilijk om overzicht te houden over wie welke code heeft geschreven en of daar kwetsbaarheden in zitten — een risico dat overheden en beveiligingsonderzoekers de afgelopen jaren steeds nadrukkelijker benoemen.
Wie werken eraan?
Chipfabrikanten als Intel, AMD, ARM en Qualcomm ontwerpen niet alleen hardware maar leveren ook de basis-firmware of referentie-implementaties die andere bedrijven gebruiken. Daarnaast bestaat er een aparte industrie van firmware-specialisten die BIOS/UEFI-code op maat leveren aan pc-fabrikanten, zoals AMI (American Megatrends), Insyde Software en het van oorsprong Amerikaanse Phoenix Technologies.
De standaarden voor moderne pc-firmware worden beheerd door het UEFI Forum, een samenwerkingsverband van chipmakers en computerfabrikanten. Het open-source-alternatief coreboot wordt onderhouden door een gemeenschap van ontwikkelaars en bedrijven, met bijdragen van onder meer Google en diverse laptopfabrikanten die privacybewuste apparaten aanbieden. Voor open chipontwerpen speelt RISC-V International een vergelijkbare rol als standaardenorganisatie.
Op het gebied van beveiliging spelen overheidsinstanties een groeiende rol. In de Verenigde Staten publiceren CISA (Cybersecurity and Infrastructure Security Agency) en NIST (National Institute of Standards and Technology) richtlijnen en waarschuwingen over firmware-beveiliging, mede naar aanleiding van incidenten zoals Mirai en zorgen over kwetsbare industriële systemen. In Europa werkt onder meer het Europese cybersecurityagentschap ENISA aan vergelijkbare richtlijnen, al is de regelgeving rond firmware-beveiliging voor consumentenapparaten in de EU nog volop in ontwikkeling.