Security Week 20: meretas komputer melalui Thunderbolt

Untuk waktu yang lama dalam intisari kami, tidak ada studi provokatif tentang kerentanan perangkat keras. Peneliti Belanda Bjorn Rutenberg menemukan tujuh lubang di pengontrol Thunderbolt ( situs proyek, karya ilmiah , artikel ulasan di Wired). Dengan satu atau lain cara, semua kerentanan memungkinkan Anda memintas sistem perlindungan komputer dan laptop utama jika Anda berhasil mendapatkan akses fisik ke sana. Secara umum, Anda harus membongkar perangkat untuk mengakses chip memori flash dengan firmware pengontrol Thunderbolt. Mengubah firmware menghapus semua tingkat keamanan dan memungkinkannya untuk secara langsung mengakses RAM dari perangkat eksternal yang arbitrer.

Kerentanan dipengaruhi oleh semua komputer dengan pengontrol Thunderbolt yang dirilis sebelum 2019. Tahun lalu, Intel, pengembang antarmuka utama, mengimplementasikan metode Kernel DMA Protection, yang membuat serangan menjadi tidak mungkin. Pengenalan lapisan perlindungan ini membutuhkan perubahan perangkat keras dan karenanya hanya tersedia di perangkat yang dirilis baru-baru ini, dan tidak semua.

Peneliti tidak menemukan laptop Dell baru dengan Kernel DMA Protection, meskipun laptop Lenovo dan HP yang juga dirilis tahun lalu menggunakan sistem ini. Potensi kerusakan dari kerentanan apa pun yang memerlukan akses fisik ke perangkat keras kecil, tetapi ceritanya telah berkembang (tidak terlalu) indah. Lagi pula, tidak dapat dikatakan bahwa sampai 2019 sistem perlindungan Thunderbolt tidak ada dalam perangkat. Pekerjaan Ryutenberg menunjukkan bahwa mereka tidak selalu bekerja.


Penulis penelitian menunjukkan algoritma serangan dalam video di atas: hanya dalam lima menit, Ryutenberg berhasil melewati layar kunci Windows. Pada kenyataannya, Anda dapat melakukannya lebih cepat: seorang penyerang tidak perlu mengambil gambar dirinya dan memberikan penjelasan.

Pada laptop Lenovo ThinkPad P1, peneliti merefleksikan pengontrol Thunderbolt, menurunkan tingkat keamanan. Hanya ada empat di antaranya: dalam mode SL3, pada prinsipnya, akses langsung perangkat eksternal ke RAM tidak mungkin. Mode SL1 digunakan secara default pada kebanyakan laptop dan menyalakan DMA setelah otorisasi. Berkedip ulang kontroler mengatur ulang pengaturan ke SL0 - dalam mode ini, semua perangkat memiliki akses ke memori tanpa otorisasi.

Apakah controller memverifikasi keaslian firmware-nya sendiri? Ya, ia memeriksa - tetapi hanya ketika memperbarui perangkat lunak menggunakan metode biasa, misalnya, dengan mengirim pembaruan ke pabrikan. Chip firmware langsung SPI programer flash tidak terdeteksi. Hal yang paling menarik adalah bahwa dengan firmware seperti itu dimungkinkan untuk memblokir pembaruan lebih lanjut, membuat komputer rentan secara permanen.

Serangan dimungkinkan karena pengaturan ulang tingkat keamanan secara paksa, serta sejumlah kelalaian lainnya dalam perlindungan Thunderbolt - misalnya, dalam bentuk kompatibilitas wajib pengontrol Thunderbolt 3 dengan versi antarmuka sebelumnya, di mana tidak ada metode perlindungan yang lebih serius. Dan pada laptop Apple, mode SL0 terpaksa, jika Anda menggunakan fungsi Bootcamp untuk mem-boot Windows atau Linux - Anda bahkan tidak perlu mem-flash apa pun. Di situs web proyek, penulis memposting kode alat serangan, serta utilitas untuk memeriksa komputer dengan Thunderbolt.

Apakah ini kerentanan berbahaya? Secara umum, tidak terlalu: pada Windows dan perangkat lunak konsumen mereka secara teratur menemukan masalah lokal dengan eskalasi hak istimewa, kadang-kadang memberikan hasil yang serupa tanpa menggunakan besi solder . Namun serangan itu ternyata indah, dalam gaya film-film James Bond. Dalam pembuktian konsep, peneliti menggunakan desain yang agak rumit untuk terhubung ke komputer, tetapi jika Anda memiliki sarana dan keinginan, Anda juga dapat membuat perangkat miniatur, sejenis programmer dengan catatan spionase.

Pekerjaan itu menjadi sasaran kritik yang diharapkan: jika Anda mencipratkan besi, Anda bisa melakukan apa saja dengan itu. Ya, tetapi penelitian semacam itu seringkali terbatas pada deskripsi teoritis tentang kerentanan, dan serangan praktis ditunjukkan di sini. Penanggulangan terhadap peretasan semacam itu juga akan ditemukan, hingga membanjirnya pelabuhan dan sirkuit mikro dengan resin epoksi. Tetapi di dunia yang ideal seharusnya tidak ada celah untuk flashing perangkat sesederhana itu. Seseorang dapat berdebat tentang pembenaran metode keamanan tambahan, tetapi mereka ada dan diterapkan. Hanya tidak dalam hal ini.

Apa lagi yang terjadi

Akun GitHub Microsoft mungkin diretas . 500 gigabyte data dicuri, tetapi belum jelas apa konsekuensinya. Sampel gigabyte yang diposting oleh cracker tidak bersinar dengan kualitas dan bahkan tidak benar-benar mengkonfirmasi bahwa Microsoft-lah yang diretas. Kebocoran besar lainnya terjadi di pencatat GoDaddy - data 28 ribu pelanggan dicuri.

Konferensi Black Hat dan DEF CON, yang secara tradisional diadakan di Amerika Serikat pada bulan Agustus, akan dibatalkan tahun ini tetapi akan diadakan secara online.

Zoom telah mengakuisisi Keybase, startup kriptografi. Pengambilalihan pertama dalam sejarah perusahaan dilakukan untuk mengimplementasikan enkripsi web conferencing ujung ke ujung.

Set tambalan berikutnya untuk platform Android ditutupBeberapa kerentanan serius dalam Kerangka Kerja Media. Salah satunya dapat digunakan untuk mengeksekusi kode arbitrer dari jarak jauh.

Perusahaan Pen Test Partners menyelidiki algoritma sistem TCAS, yang mencegah pendekatan berbahaya pada pesawat. Dan mereka menunjukkan contoh serangan yang melibatkan pengenalan komunikasi radio, serta penciptaan objek yang tidak ada. Secara teori, adalah mungkin untuk memaksa pilot melakukan manuver yang menimbulkan risiko keamanan nyata dalam upaya untuk menghindari tabrakan dengan pesawat "virtual".