Firmware

Firmware is software die vast in een apparaat zit en de hardware aanstuurt. Je ziet het bijna nooit, maar zonder firmware doet je laptop, smartphone of router helemaal niets. In dit artikel lees je wat firmware is, hoe het werkt en welke soorten er zijn. Ook leer je waarom firmware updates belangrijk zijn en waar goede firmware aan moet voldoen.

Wat is firmware?

Firmware is een speciaal soort software die direct op de hardware van een apparaat is opgeslagen. Het vormt de brug tussen de fysieke onderdelen en de software waar jij mee werkt. Firmware vertelt de hardware wat hij moet doen, hoe hij moet opstarten en hoe hij met andere onderdelen praat.

Denk aan een wasmachine. Kies je een programma, dan bepaalt de firmware hoe lang de trommel draait, wanneer het water erin loopt en hoe warm het wordt. Jij ziet alleen de knoppen en het display. Daarachter doet de firmware het werk.

Bijna elk elektronisch apparaat heeft firmware. Van je computer en smartphone tot je televisie, printer en zelfs je auto. Bij eenvoudige apparaten is firmware vaak de enige software die erop draait. Bij een laptop zorgt firmware er vooral voor dat het besturingssysteem kan opstarten.

Het verschil tussen hardware, software en firmware

Hardware, software en firmware worden vaak door elkaar gehaald. Toch heeft elk een eigen rol. Hardware is alles wat je kunt aanraken, zoals een processor, een scherm of een harde schijf. Software zijn de programma’s en apps die je zelf installeert en gebruikt. Firmware zit daar precies tussenin: het is software, maar dan vast verbonden aan een specifiek stuk hardware.

Het grootste verschil zit in hoe vaak iets verandert en wie het aanpast. In de tabel hieronder zie je de belangrijkste verschillen op een rij.

Waar komt de naam firmware vandaan?

De term firmware is in 1967 bedacht door de Amerikaanse computerwetenschapper Ascher Opler. Hij gebruikte het woord in een artikel in het vakblad Datamation. Opler zocht een naam voor programma’s die tussen hardware en software in zaten: niet zo vast als hardware, maar ook niet zo makkelijk aan te passen als gewone software.

Het woord is een slimme woordspeling. Hardware is “hard” en software is “soft”. Firmware is “firm”: stevig, maar niet onveranderlijk. Dat past nog steeds goed bij wat firmware vandaag is. Het zit vast in een apparaat, maar met een update kun je het wel aanpassen.

Hoe werkt firmware?

Firmware is het eerste stukje software dat actief wordt zodra een apparaat stroom krijgt. Het controleert of de hardware werkt, zet alle onderdelen klaar en geeft daarna de controle door. Bij eenvoudige apparaten blijft firmware de hele tijd aan het werk. Bij een computer of smartphone neemt het besturingssysteem het na het opstarten grotendeels over.

Firmware praat rechtstreeks met de hardware, in de taal die de chips begrijpen. Daardoor hoeven het besturingssysteem en je apps niet te weten hoe elk onderdeel precies werkt. Ze geven een opdracht en de firmware zorgt dat de hardware die uitvoert. Ook tijdens gebruik blijft firmware op de achtergrond actief. Denk aan de firmware in je SSD, je wifichip of de controller van je toetsenbord.

Waar firmware wordt opgeslagen

Firmware staat op een geheugenchip die zijn inhoud bewaart, ook als de stroom eraf gaat. Dat heet niet-vluchtig geheugen, of non-volatile memory. Welk type chip een fabrikant gebruikt, is in de loop der jaren flink veranderd. Dit zijn de bekendste vormen:

• ROM (read-only memory): de firmware wordt in de fabriek één keer op de chip gezet en kan daarna niet meer veranderen. Je vindt dit vooral in oudere of heel eenvoudige apparaten.

• EEPROM: dit geheugen kun je elektrisch wissen en opnieuw beschrijven. Het is geschikt voor kleine hoeveelheden data, zoals instellingen.

• Flashgeheugen: snel, ruim en makkelijk te herschrijven. Dit is nu de standaard in vrijwel alle apparaten.

Dankzij flashgeheugen kun je firmware vandaag de dag eenvoudig updaten. Vroeger moest je daarvoor soms een hele chip vervangen.

De rol van firmware bij het opstarten

Wat gebeurt er eigenlijk als je op de aan/uitknop van je computer drukt? Binnen een paar seconden doorloopt het apparaat een vaste reeks stappen. Firmware speelt daarin de hoofdrol:

1. Stroom aan: de processor krijgt stroom en zoekt de firmware op een vaste plek in het geheugen.

2. Firmware start: de firmware wordt geladen. Bij een pc is dat meestal UEFI of BIOS.

3. Hardwarecheck: de firmware controleert of processor, geheugen en opslag goed werken. Deze test heet de power-on self-test (POST).

4. Bootloader: de firmware zoekt de schijf met het besturingssysteem en start de bootloader.

5. Besturingssysteem: de bootloader laadt Windows, macOS of Linux, waarna het besturingssysteem de controle overneemt.

De firmware voert de stappen 2 tot en met 4 zelfstandig uit; het besturingssysteem neemt pas helemaal aan het einde het over.

Hoor je een pieptoon of zie je een foutmelding nog voordat je besturingssysteem start? Dan komt die melding meestal van de firmware. Er is dan vaak iets mis met de hardware, zoals een los geheugenmodule.

Soorten firmware

Firmware is niet overal hetzelfde. Een eenvoudige afstandsbediening heeft heel andere firmware nodig dan een laptop of een auto. Grofweg kun je firmware op twee manieren indelen: naar hoe diep het in de hardware zit en naar de taak die het heeft. Hieronder lees je welke soorten er zijn.

Low-level firmware

Low-level firmware zit het diepst in de hardware. Het staat vaak op een ROM-chip en is na productie meestal niet meer aan te passen. Deze firmware regelt de meest basale functies van een onderdeel, zoals het aanzetten van een chip of het doorgeven van simpele signalen.

Omdat low-level firmware zelden verandert, moet het vanaf dag één goed werken. Een bug erin is lastig op te lossen. Vaak is vervangen van de hardware dan de enige optie.

High-level firmware

High-level firmware is uitgebreider en staat meestal op flashgeheugen. Het bevat meer instructies en kan complexe taken uitvoeren. Denk aan de firmware van een router, een smart tv of een printer.

Het grote voordeel is dat je high-level firmware kunt updaten. Fabrikanten kunnen daardoor fouten herstellen, beveiligingslekken dichten en nieuwe functies toevoegen. Ook lang nadat het apparaat in de winkel lag.

Subsystem firmware

Subsystem firmware stuurt één onderdeel binnen een groter systeem aan. Dat onderdeel werkt redelijk zelfstandig, maar is wel deel van het geheel. Een computer heeft er een hele reeks van. Zo heeft je SSD eigen firmware, net als je videokaart, je wifimodule en je webcam.

Je merkt er als gebruiker weinig van. Toch kan een update van subsystem firmware veel uitmaken. Een SSD wordt er bijvoorbeeld sneller of stabieler door.

BIOS en UEFI

De bekendste voorbeelden van firmware vind je in de computer. Vrijwel elke pc start op met BIOS of UEFI.

BIOS staat voor Basic Input/Output System. Het werd bekend door de eerste IBM pc uit 1981 en was jarenlang de standaard. BIOS test de hardware bij het opstarten en start daarna het besturingssysteem. Je bedient het met het toetsenbord via een simpel blauw of grijs scherm.

UEFI staat voor Unified Extensible Firmware Interface. Het is de moderne opvolger van BIOS en zit in vrijwel alle nieuwe computers. UEFI start sneller op, werkt met veel grotere schijven en heeft vaak een grafisch menu dat je met de muis kunt bedienen. Ook biedt het Secure Boot, een functie die voorkomt dat er bij het opstarten software zonder geldige handtekening wordt geladen.

Veel mensen zeggen nog steeds “BIOS” als ze UEFI bedoelen. De twee worden in de praktijk dus vaak door elkaar gebruikt. De tabel hieronder zet de verschillen op een rij.

Voorbeelden van firmware in het dagelijks leven

Je gebruikt elke dag tientallen apparaten met firmware, vaak zonder dat je het weet. Alles met een chip erin heeft firmware nodig om te werken. Dat geldt voor je laptop, maar ook voor je wasmachine, je auto en zelfs je elektrische tandenborstel. In de tabel hieronder zie je een aantal veelvoorkomende voorbeelden en wat de firmware daar precies doet.

Vooral de auto is een mooi voorbeeld. Een moderne auto heeft tientallen kleine computers aan boord, ook wel electronic control units (ECU’s) genoemd. Elke ECU heeft eigen firmware voor een eigen taak. Steeds meer autofabrikanten werken die firmware op afstand bij, via een over-the-air (OTA) update. Je hoeft daarvoor dan niet meer naar de garage.

Ook smart home apparaten verdienen extra aandacht. Ze zijn altijd verbonden met internet en draaien vaak jarenlang zonder dat iemand ernaar omkijkt. Dat maakt goede firmware en regelmatige updates hier extra belangrijk. Later in dit artikel lees je waarom.

Waarom is firmware belangrijk?

Firmware is de basis waar alles op draait. Zonder firmware is hardware niet meer dan een verzameling chips en draadjes. Het besturingssysteem kan niet starten, apps werken niet en het apparaat reageert nergens op. Firmware maakt van losse onderdelen een werkend geheel.

Toch gaat het om meer dan alleen aan en uit. De kwaliteit van firmware bepaalt voor een groot deel hoe goed een apparaat werkt. Dat zie je terug op vier punten.

• Stabiliteit
  Firmware zorgt dat alle onderdelen goed samenwerken. Zit er een fout in, dan kan een apparaat vastlopen, spontaan herstarten of onverwacht gedrag vertonen. Veel vage problemen met routers of laptops blijken achteraf door firmware te komen.

• Compatibiliteit
  Nieuwe hardware of software moet kunnen samenwerken met wat je al hebt. Firmware maakt dat mogelijk. Een moederbord heeft bijvoorbeeld soms een firmware update nodig voordat het een nieuwere processor herkent.

• Prestaties
  Firmware bepaalt hoe efficiënt hardware zijn werk doet. Een update kan een SSD sneller maken, de batterij van een telefoon langer laten meegaan of het bereik van een router verbeteren. Zonder dat je iets aan de hardware verandert.

• Security
  Firmware start als eerste op en heeft volledige toegang tot de hardware. Dat maakt het een aantrekkelijk doelwit voor aanvallers. Een lek in de firmware is vaak gevaarlijker dan een lek in een gewone app, omdat het dieper in het systeem zit en moeilijker te ontdekken is.

Verouderde firmware is daarom een echt risico. Een apparaat kan jarenlang prima lijken te werken, terwijl er bekende beveiligingslekken in zitten. Fabrikanten brengen daarom regelmatig updates uit. In het volgende deel lees je hoe dat werkt.

Firmware updaten

Een firmware update vervangt de firmware op een apparaat door een nieuwere versie. Bij veel apparaten gaat dat vanzelf, op de achtergrond. Bij andere moet je het zelf doen. Een update duurt meestal maar een paar minuten, maar vraagt wel meer voorzichtigheid dan het bijwerken van een app.

Waarom fabrikanten firmware updates uitbrengen

Geen enkele firmware is perfect op de dag dat een apparaat in de winkel ligt. Fouten en zwakke plekken komen vaak pas aan het licht als duizenden mensen het apparaat gebruiken. Met een update kan een fabrikant dat achteraf oplossen. De meest voorkomende redenen zijn:

• Beveiligingslekken dichten: onderzoekers en aanvallers vinden geregeld nieuwe lekken. Een update sluit die af voordat iemand er misbruik van maakt.

• Bugs oplossen: denk aan een router die steeds de verbinding verliest of een laptop die niet goed uit slaapstand komt.

• Prestaties verbeteren: een update kan een apparaat sneller, zuiniger of stabieler maken.

• Nieuwe functies toevoegen: soms krijgt een apparaat er na een update mogelijkheden bij, zoals ondersteuning voor een nieuwe wifistandaard of nieuwe hardware.

Fabrikanten blijven niet eeuwig updates leveren. Na een aantal jaar stopt de ondersteuning voor een apparaat. Het werkt daarna nog wel, maar nieuwe lekken worden niet meer gedicht. Voor apparaten die met internet verbonden zijn, is dat een belangrijk moment om over vervanging na te denken.

Hoe een firmware update werkt

Het bijwerken van firmware heet ook wel flashing. De nieuwe firmware wordt daarbij naar het flashgeheugen van het apparaat geschreven en overschrijft de oude versie. Daarna herstart het apparaat met de nieuwe firmware.

Hoe je zo’n update binnenkrijgt, verschilt per apparaat. Smartphones, smart tv’s en steeds meer auto’s krijgen een over-the-air (OTA) update. Die wordt via internet binnengehaald en vaak automatisch geïnstalleerd. Bij een router start je de update meestal via de bijbehorende app of de beheerpagina in je browser. Bij andere apparaten, zoals een moederbord of een camera, download je zelf een bestand van de website van de fabrikant. Dat zet je op een USB-stick of geheugenkaart en installeer je via het menu van het apparaat.

Bij een goede update controleert het apparaat eerst of de firmware echt van de fabrikant komt. Pas daarna begint het met schrijven. Sommige apparaten bewaren daarbij een reservekopie van de oude firmware, zodat ze terug kunnen vallen als er iets misgaat.

De risico’s van een update

Een firmware update is meestal veilig, maar niet zonder risico. Het grootste gevaar is dat de update halverwege wordt onderbroken. Valt de stroom uit terwijl de firmware wordt geschreven, dan blijft er een half werkende versie achter. Het apparaat kan dan niet meer opstarten.

Dit heet bricking: het apparaat is net zo nuttig als een baksteen geworden. Soms valt dat nog te herstellen via een speciale herstelmodus. Dat heet een soft brick. Bij een hard brick lukt dat niet meer en moet het apparaat terug naar de fabrikant of is het definitief kapot.

Ook de verkeerde firmware installeren kan een apparaat onbruikbaar maken. Firmware is gemaakt voor een specifiek model en soms zelfs voor een specifieke hardwareversie daarvan. Daarnaast kan een update nieuwe fouten bevatten of een functie weghalen die je juist gebruikte. Terug naar een oudere versie is lang niet altijd mogelijk.

Veel moderne apparaten zijn hier beter tegen beschermd dan vroeger. Ze hebben bijvoorbeeld twee kopieën van de firmware of een vaste herstelfunctie. Toch blijft voorzichtigheid verstandig.

Tips voor een veilige firmware update

Met een paar eenvoudige voorzorgen verklein je de kans dat er iets misgaat. Let vooral op de volgende punten:

• Download firmware alleen bij de fabrikant. Gebruik de officiële website, app of updatefunctie van het apparaat zelf.

• Controleer het model. Kijk of de firmware precies bij jouw model en hardwareversie past.

• Zorg voor stabiele stroom. Sluit een laptop aan op de lader en zorg dat je telefoon voldoende is opgeladen.

• Onderbreek de update nooit. Zet het apparaat niet uit en haal geen kabels los, ook niet als het lang lijkt te duren.

• Gebruik bij een router een kabel. Een bekabelde verbinding is betrouwbaarder dan wifi tijdens een update.

• Lees de release notes. Daarin staat wat de update verandert en of er bekende problemen zijn.

• Maak een back-up van je instellingen. Bij routers en andere netwerkapparaten kun je je instellingen vaak eerst exporteren.

• Zet automatische updates aan. Biedt je apparaat die optie, dan blijf je zonder moeite up-to-date.

Zo vind je de firmwareversie van je apparaat

Wil je weten of je apparaat up-to-date is? Dan heb je eerst de huidige firmwareversie nodig. Die zoek je op en vergelijk je daarna met de nieuwste versie op de supportpagina van de fabrikant. Waar je de versie vindt, verschilt per apparaat. De namen van menu’s veranderen ook weleens na een update. Daarom geeft de tabel hieronder de meest gebruikte routes, zonder elke klik precies voor te schrijven.

Bij computers kun je de firmware ook bekijken door tijdens het opstarten de UEFI- of BIOS-instellingen te openen. Dat doe je meestal met een toets als F2, F10, F12 of Delete. Welke toets het is, hangt af van het merk.

Bij smartphones, tablets en Macs komen firmware updates meestal mee met de gewone systeemupdates. Houd je die bij, dan is je firmware doorgaans ook up-to-date. Bij routers, moederborden en veel smart home apparaten moet je vaker zelf opletten.

Custom firmware en firmware hacking

Custom firmware is firmware die niet van de fabrikant komt, maar door anderen is gemaakt of aangepast. Vaak gaat het om open source projecten van een community van ontwikkelaars. Je vervangt daarmee de originele firmware van een apparaat door een eigen versie. Dit gebeurt het vaakst bij routers, smartphones, camera’s en gameconsoles.

Bekende voorbeelden zijn OpenWrt en DD-WRT voor routers en LineageOS voor Android smartphones. Er zijn ook projecten die extra functies toevoegen aan bepaalde systeemcamera’s, zoals betere video-opties.

Mensen kiezen om verschillende redenen voor custom firmware. De belangrijkste zijn:

• Meer functies: custom firmware biedt vaak opties die de fabrikant niet heeft ingebouwd, zoals uitgebreide netwerkinstellingen of een VPN op je router.

• Langer meegaan: stopt de fabrikant met updates, dan kan een community de ondersteuning soms jaren voortzetten.

• Meer controle en privacy: je bepaalt zelf wat er op je apparaat draait en welke gegevens het deelt.

• Leren en experimenteren: voor veel liefhebbers is het gewoon interessant om te zien hoe een apparaat van binnen werkt.

Daar staan wel risico’s tegenover. Custom firmware installeren vervalt vaak je garantie. Gaat er iets mis tijdens het flashen, dan loop je het risico op bricking. Ook is niet elk project even goed onderhouden. Slecht bijgehouden custom firmware kan juist nieuwe beveiligingslekken veroorzaken. Bij gameconsoles gaat het omzeilen van beveiliging bovendien in tegen de voorwaarden van de fabrikant en kan het juridisch gevoelig liggen.

Firmware hacking heeft ook een andere kant. Securityonderzoekers analyseren firmware om lekken te vinden en die te melden bij de fabrikant. Dat maakt apparaten uiteindelijk veiliger. Maar dezelfde technieken worden ook door aanvallers gebruikt. Er zijn bijvoorbeeld gevallen bekend waarin kwaadaardige code zich verstopte in de firmware van harde schijven. Zulke code overleeft zelfs het formatteren van de schijf of het opnieuw installeren van het besturingssysteem. Daarover lees je meer in het volgende deel.

Firmware en security

Firmware heeft een bijzondere positie in elk apparaat. Het start als eerste op, heeft volledige toegang tot de hardware en draait onder het besturingssysteem. Dat maakt het voor aanvallers een aantrekkelijk doelwit. Wie de firmware in handen heeft, heeft in feite het hele apparaat in handen.

Een aanval via firmware is ook lastig te ontdekken. Antivirussoftware draait binnen het besturingssysteem en kijkt meestal niet naar de firmware. Bovendien overleeft kwaadaardige firmware vaak het opnieuw installeren van het besturingssysteem of zelfs het vervangen van de harde schijf. De code zit immers niet op de schijf, maar op een chip in het apparaat zelf.

Hoe aanvallen via firmware werken

Aanvallers hebben verschillende manieren om firmware te misbruiken. Ze maken daarbij vaak gebruik van zwakke plekken in het updateproces of van lekken die nog niet zijn gedicht. Dit zijn de meest voorkomende vormen:

• Rootkits: kwaadaardige code die zich diep in het systeem nestelt en zichzelf verbergt. Een firmware rootkit zit in de firmware zelf en wordt bij elke start opnieuw geladen.

• Bootkits: een variant die zich richt op het opstartproces. Omdat de bootkit actief wordt voordat het besturingssysteem start, kan hij beveiligingen uitschakelen nog voor ze opstarten.

• Supply chain aanvallen: de firmware wordt al aangepast voordat het apparaat bij jou is. Dat kan bij een leverancier gebeuren of via een gehackte updateserver van de fabrikant.

• Valse updates: aanvallers verspreiden nep-firmware via onofficiële websites. Wie die installeert, zet zelf de deur open.

• Fysieke toegang: met directe toegang tot een apparaat kan iemand de firmware soms via een USB-poort of een debugaansluiting aanpassen.

Dit is geen theorie. In 2018 ontdekten onderzoekers van ESET LoJax, de eerste bekende UEFI rootkit die echt in het wild werd gebruikt. Sindsdien zijn er meer van zulke aanvallen gevonden, vaak gericht op overheden en grote organisaties.

Waarom IoT apparaten extra kwetsbaar zijn

IoT staat voor Internet of Things: apparaten die met internet verbonden zijn, zoals slimme camera’s, deurbellen, thermostaten en lampen. Juist deze apparaten zijn vaak het zwakste punt in een netwerk. Daar zijn een aantal redenen voor.

Veel IoT apparaten zijn goedkoop gemaakt, met weinig aandacht voor security. Ze komen soms met een standaardwachtwoord dat gebruikers nooit aanpassen. Fabrikanten leveren vaak maar een korte periode updates, of helemaal geen. En omdat zo’n apparaat gewoon zijn werk lijkt te doen, kijkt niemand er nog naar om. Ondertussen is het wel dag en nacht online.

De gevolgen kunnen groot zijn. In 2016 nam het Mirai-botnet honderdduizenden slecht beveiligde IoT apparaten over, vooral camera’s en routers. Die werden samen ingezet om grote websites plat te leggen. Een gehackt apparaat kan ook een opstap zijn naar de rest van je thuis- of bedrijfsnetwerk. En bij een slimme camera staat ook je privacy op het spel.

Hoe je apparaten beschermt

Volledig uitsluiten kun je een aanval via firmware niet. Wel kun je het aanvallers een stuk lastiger maken. Met de volgende maatregelen kom je al een heel eind:

• Houd firmware up-to-date. Zet automatische updates aan waar dat kan en controleer apparaten zonder die optie af en toe zelf.

• Laat Secure Boot aanstaan. Deze UEFI-functie zorgt dat bij het opstarten alleen software met een geldige handtekening wordt geladen.

• Wijzig standaardwachtwoorden. Gebruik voor elk apparaat een sterk en uniek wachtwoord, ook voor de beheerpagina van je router.

• Beveilig de UEFI-instellingen. Met een wachtwoord op de firmware-instellingen voorkom je dat iemand ze zomaar aanpast.

• Zet IoT apparaten op een apart netwerk. Een gastnetwerk voor slimme apparaten houdt een gehackt apparaat weg van je laptop en telefoon.

• Schakel overbodige functies uit. Denk aan beheer op afstand of UPnP op je router als je die niet gebruikt.

• Let op bij aankoop. Kies voor merken die duidelijk zijn over hoe lang ze updates leveren.

Voor organisaties gaat het nog een stap verder. Zij nemen firmware mee in hun vulnerability management, houden bij welke firmwareversies er op welke apparaten draaien en rollen updates centraal uit.

Waar moet goede firmware aan voldoen?

Niet alle firmware is even goed. Of een apparaat veilig en betrouwbaar blijft, hangt sterk af van hoe de fabrikant met firmware omgaat. Als gebruiker zie je de firmware zelf niet, maar je kunt wel letten op een aantal kenmerken. Goede firmware voldoet in elk geval aan de volgende vier eisen.

Digitale ondertekening door de fabrikant

Goede firmware is digitaal ondertekend. De fabrikant zet met een geheime sleutel een soort digitale handtekening onder elke versie. Het apparaat controleert die handtekening voordat het de firmware installeert of opstart. Klopt de handtekening niet, dan weigert het apparaat de firmware.

Zo voorkom je dat aangepaste of nep-firmware ongemerkt op een apparaat terechtkomt. Zelfs een kleine wijziging in de code maakt de handtekening ongeldig. Moderne apparaten hebben hiervoor vaak een vast beveiligd onderdeel in de hardware, ook wel een root of trust genoemd. Dat vormt het startpunt van alle controles.

Er is wel een keerzijde. Strenge ondertekening maakt het lastiger om custom firmware te installeren. Sommige fabrikanten bieden daarom een officiële manier om de controle uit te zetten, voor wie bewust die keuze maakt.

Lange ondersteuning met regelmatige updates

Firmware is nooit af. Er worden altijd nieuwe lekken gevonden, ook jaren na de lancering van een apparaat. Een goede fabrikant blijft daarom lang updates leveren en is daar open over. Je weet dan vooraf hoe lang een apparaat beveiligingsupdates krijgt.

Ook de snelheid telt. Wordt er een ernstig lek gevonden, dan hoort er snel een update te komen. Betrouwbare fabrikanten publiceren daarnaast security advisories. Daarin leggen ze uit welk lek er was, welke apparaten het raakt en welke versie het oplost.

Binnen de Europese Unie wordt dit steeds meer een verplichting. De Cyber Resilience Act stelt eisen aan de beveiliging van producten met digitale onderdelen. Fabrikanten moeten onder meer gedurende een vaste periode beveiligingsupdates leveren.

Transparantie en open source

Bij de meeste firmware is de broncode geheim. Je moet de fabrikant dan op zijn woord geloven dat de code veilig is. Open source firmware werkt anders. De code is openbaar, zodat iedereen kan meekijken, fouten kan vinden en verbeteringen kan voorstellen.

Voorbeelden zijn coreboot, open source firmware voor computers, en OpenWrt voor routers. Doordat veel mensen de code kunnen controleren, komen fouten vaak sneller aan het licht. Ook verborgen functies zijn moeilijker te verstoppen.

Open source is wel geen garantie voor veiligheid. Het werkt alleen als het project actief wordt onderhouden en er echt mensen meekijken. Transparantie gaat bovendien verder dan open code. Duidelijke release notes en een overzicht van de gebruikte softwareonderdelen, ook wel een software bill of materials (SBOM) genoemd, helpen gebruikers en organisaties ook om risico’s in te schatten.

Een veilig updatemechanisme

Een update is alleen zo veilig als de manier waarop hij binnenkomt. Goede firmware haalt updates op via een versleutelde verbinding en controleert altijd eerst de handtekening. Pas als alles klopt, begint de installatie.

Daarnaast hoort een updatemechanisme bestand te zijn tegen fouten. Veel apparaten hebben daarom twee plekken voor firmware. De nieuwe versie wordt eerst naast de oude gezet. Mislukt de update, dan start het apparaat gewoon op met de vorige versie. Zo voorkom je bricking.

Tot slot heeft goede firmware vaak bescherming tegen terugzetten, ook wel anti-rollback genoemd. Die voorkomt dat iemand een oude versie met een bekend lek opnieuw installeert. Dat is goed voor de veiligheid, maar betekent ook dat je een update niet altijd zelf kunt terugdraaien.

Firmware: onzichtbaar, maar onmisbaar

Firmware is de software die vast in een apparaat zit en de hardware aanstuurt. Je ziet het bijna nooit, maar het is wel de basis onder alles wat je doet. Het zorgt dat je laptop opstart, dat je router verbinding maakt en dat je wasmachine het juiste programma draait.

Juist omdat firmware zo diep in een apparaat zit, is het belangrijk om het goed bij te houden. Updates lossen fouten op, verbeteren de prestaties en dichten beveiligingslekken. Verouderde firmware kan daarentegen een makkelijke ingang zijn voor aanvallers, zeker bij apparaten die altijd online zijn.

De praktische les is eenvoudig. Zet automatische updates aan waar dat kan, download firmware alleen bij de fabrikant en onderbreek een update nooit. Let bij de aankoop van een nieuw apparaat ook op hoe lang de fabrikant updates belooft. Dan blijft de firmware in je apparaten doen wat het hoort te doen: onzichtbaar zijn werk.