Погрижете се за вашите донгъли: Проучване за безопасността на клавиатурния приемник на Logitech

Исторически повечето служители използват безжични клавиатури и мишки на Logitech. За пореден път въвеждайки нашите пароли, ние, специалистите от екипа на Raccoon Security, се запитахме: колко трудно е да се заобиколят защитните механизми на безжичните клавиатури? Проведеното изследване разкри архитектурни пропуски и софтуерни грешки, позволяващи достъп до входните данни. Под среза - това, което получихме.

Защо Logitech?

Според нас входните устройства на Logitech са едни от най-качествените и удобни. Повечето от устройствата, с които разполагаме, са базирани на решението на Logitech Unifying е универсален донгъл приемник, който ви позволява да свържете до 6 устройства. Всички устройства, съвместими с технологията Logitech Unifying, са маркирани със съответното лого. Лесен за използване приложение ви позволява да управлявате свързването на безжични клавиатури към вашия компютър. Процесът на свързване на клавиатурата към донгъл приемника на Logitech, както и самата технология са разгледани подробно, напр. тук.

Logitech Unifying Dongle Receiver

Клавиатурата може да се превърне в източник на информация за натрапници. Logitech, като взе предвид възможната заплаха, се погрижи за сигурността - приложи алгоритъма за криптиране AES128 в радиоканала на безжичната клавиатура. Първата мисъл, която може да посети нападателя в тази ситуация, е прихващането на ключова информация по време на нейното предаване по въздуха по време на процедурата за свързване. В крайна сметка, ако имате ключ, можете да прихванете радиосигналите на клавиатурата и да ги дешифрирате. Въпреки това е много рядко (или никога) потребителят да обвърже клавиатура с Unifying процедура и хакер със сканиращо радио ще трябва да чака дълго време. Освен това не всичко е толкова просто със самия процес на прихващане. В последното проучване през юни 2019 г. експертът по сигурността Маркус Менгс публикува онлайн сообщение относно откриването на уязвимост в стария фърмуер на USB ключовете на Logitech. Той позволява на нападателите с физически достъп до устройствата да получат ключове за криптиране на радиоканала и да инжектират натискания на клавиши (CVE-2019-13054).

Ще покрием нашето проучване за сигурност на донгъл на Logitech, базиран на NRF24 SoC на Nordic Semiconductor. И нека започнем, може би, със самия радиоканал.

Как данните "летят" в радиоканала

За времево-честотен анализ на радиосигнала използвахме SDR приемник, базиран на устройството Blade-RF в режим на спектрален анализатор (можете също да прочетете за това тук).

SDR Blade-RF устройство

Също така разгледахме възможността за запис на квадратури на радиосигнала на междинна честота, за да ги анализираме след това с помощта на методи за цифрова обработка на сигнала.

Държавна комисия по радиочестотите в Руската федерация уволнен за използване от устройства с малък обхват в честотния диапазон 2400-2483,5 MHz. Това е много "населен" диапазон, в който няма да намерите нищо: Wi-Fi, Bluetooth, всякакви дистанционни управления, системи за сигурност, безжични детектори, мишки с клавиатури и други безжични цифрови устройства.

2,4 GHz честотен спектър

Ситуацията със смущения в обхвата е доста сложна. Въпреки това, Logitech успя да осигури надеждно и стабилно приемане чрез използване на Enhanced ShockBurst протокол в трансивъра NRF24 в комбинация с алгоритми за адаптиране на честотата.

Каналите в обхвата са разположени на цели MHz позиции, както е дефинирано в специализация NRF24 Nordic Semiconductor - общо 84 канала в честотната мрежа. Броят на честотните канали, използвани едновременно от Logitech, разбира се, е по-малък. Установихме използването на най-малко четири. Поради ограничения обхват на използвания спектрален анализатор на сигнала, не беше възможно да се определи точният списък с използвани честотни позиции, но това не беше необходимо. Информацията от клавиатурата към донгъл-приемника се предава в режим Burst (кратък предавател се включва) с помощта на двупозиционна честотна модулация GFSK при символна скорост от 1 Mbaud:

Радиосигнал на клавиатурата в изглед на времето

Получателят използва корелационния принцип на приемане, така че предаваният пакет съдържа преамбюл и адресна част. Не се използва кодиране за коригиране на грешки, тялото на данните е криптирано с помощта на алгоритъма AES128.

Като цяло въздушният интерфейс на безжичната клавиатура на Logitech може да се характеризира като напълно асинхронен със статистическо мултиплексиране с разделяне и честотна характеристика. Това означава, че предавателят на клавиатурата променя канала, за да предава всеки нов пакет. Приемникът не знае предварително нито времето за предаване, нито честотния канал, а само списък от тях. Приемникът и предавателят се срещат в канала благодарение на съгласуваните честотни байпас и алгоритми за слушане, както и подобрени механизми за потвърждение на ShockBurst. Не сме проверили дали списъкът с канали е статичен. Вероятно промяната му се дължи на алгоритъма за адаптиране на честотата. Нещо близко до метода PRCH (псевдослучайна настройка на работната честота) се отгатва в използването на честотния ресурс на диапазона.

По този начин, при условия на времево-честотна несигурност, за да се гарантира приемането на всички сигнали от клавиатурата, нападателят ще трябва постоянно да наблюдава цялата честотна мрежа от диапазона от 84 позиции, което изисква значителни времеви разходи. Тук става ясно защо уязвимостта при извличане на USB ключ (CVE-2019-13054) в източници Позиционира се като възможност за инжектиране на натискания на клавиши, вместо получаване на достъп от нападател до данни, въведени от клавиатурата. Очевидно радиоинтерфейсът на безжичната клавиатура е доста сложен и осигурява надеждна радиовръзка между устройствата на Logitech в трудна среда на смущения в обхвата 2,4 GHz.

Вътрешен поглед към проблема

За проучване избрахме една от нашите налични клавиатури Logitech K330 и донгъл Logitech Unifying.

Logitech K330

Нека да надникнем в клавиатурата. Интересен елемент на платката за изследване е чипът SoC NRF24 от Nordic Semiconductor.

NRF24 SoC на безжична клавиатура Logitech K330

Фърмуерът се намира във вътрешната памет, механизмите за четене и отстраняване на грешки са изключени. За съжаление, фърмуерът не е публикуван в отворени източници. Затова решихме да подходим към проблема от другата страна - да проучим вътрешното съдържание на донгъл приемника на Logitech.

„Вътрешният свят“ на донгъл приемника е доста интересен. Донгълът се разглобява лесно, носи на борда NRF24, познат ни в изданието с вграден USB контролер и може да бъде препрограмиран както от страна на USB, така и директно от програмиста.

Dongle Logitech без калъф

Тъй като има редовен механизъм за актуализиране на фърмуера, който използва Инструмент за актуализиране на фърмуера (от който можете да извлечете актуализираната версия на фърмуера), няма нужда да търсите фърмуера вътре в донгъла.

Какво беше направено: Фърмуерът RQR_012_005_00028.bin беше извлечен от тялото на приложението Firmware Update Tool. За да се провери неговата цялост, контролерът на донгъла беше свързан чрез контур към програмиста ChipProg-48:

Кабел за свързване на донгъл Logitech за програматор ChipProg 48

За да се контролира целостта на фърмуера, той беше поставен успешно в паметта на контролера и работеше правилно, клавиатурата и мишката бяха свързани към донгъла чрез Logitech Unifying. Възможно е да качите модифицирания фърмуер чрез стандартния механизъм за актуализиране, тъй като няма механизми за криптографска защита за фърмуера. За изследователски цели използвахме физическа връзка с програмиста, тъй като отстраняването на грешки е много по-бързо по този начин.

Разследване на фърмуера и атака срещу потребителско въвеждане

Чипът NRF24 е проектиран на базата на изчислителното ядро ​​Intel 8051 в традиционната архитектура на Харвард. За ядрото трансивърът действа като периферно устройство и се намира в адресното пространство като набор от регистри. Документация за чипа и примери за изходен код могат да бъдат намерени в Интернет, така че разглобяването на фърмуера не е трудно. В хода на обратното инженерство локализирахме функциите за получаване на данни за натискане на клавиши от радиоканала и преобразуването им в HID формат за предаване към хоста чрез USB интерфейса. В адресите на свободната памет беше поставен кодът за инжектиране, който включваше инструменти за прихващане на контрола, запазване и възстановяване на оригиналния контекст на изпълнение, както и функционален код.

Пакетът от натискане или освобождаване на клавиш, получен от донгъла от радиоканала, се декриптира, преобразува в стандартен HID отчет и се изпраща към USB интерфейса като от конвенционална клавиатура. Като част от проучването, частта от отчета на HID, която съдържа байта от модификаторни флагове и масив от 6 байта с кодове за натискане на клавиши, представлява най-голям интерес за нас (за справка, информация за HID тук).

Структура на HID отчета:

// Keyboard HID report structure.
// See https://flylib.com/books/en/4.168.1.83/1/ (last access 2018 december)
// "Reports and Report Descriptors", "Programming the Microsoft Windows Driver Model"
typedef struct{
    uint8_t Modifiers;
    uint8_t Reserved;
    uint8_t KeyCode[6];
}HidKbdReport_t;

Непосредствено преди да предаде HID структурата на хоста, инжектираният код получава контрол, копира 8 байта собствени HID данни в паметта и ги изпраща към страничния радио канал в чист текст. В кода изглежда така:

//~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~>
// Profiling have shown time execution ~1.88 mSec this block of code
SaveRfState();                  // save transceiver state
RfInitForTransmition(TransmitRfAddress);        // configure for special trnsmition
hal_nrf_write_tx_payload_noack(pDataToSend,sizeof(HidKbdReport_t)); // Write payload to radio TX FIFO
CE_PULSE();                 // Toggle radio CE signal to start transmission
RestoreRfState();               // restore original transceiver state
//~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~<

Страничният канал е организиран на зададената от нас честота с определени характеристики на скоростта на манипулиране и структурата на пакета.

Работа на трансивъра в чип NRF24 се основава на графика на състоянието, в която протоколът Enhanced ShockBurst е органично вписан. Установихме, че трансивърът е бил в състояние IDLE точно преди HID данните да бъдат изпратени към USB интерфейса на хоста. Това прави възможно безопасното му преконфигуриране за работа в страничен канал. Инжектираният код отменя управлението, запазва оригиналната конфигурация на трансивъра в неговата цялост и го поставя в нов режим на предаване на страничния канал. Подобреният механизъм за потвърждение на ShockBurst е деактивиран в този режим, HID данните се предават в ясен текст по въздуха. Структурата на пакета в страничния канал е показана на фигурата по-долу, графиките на сигнала са получени след демодулация и преди възстановяване на часовника за данни. Стойността на адреса е избрана за удобство на визуалната идентификация на пакета.

Демодулиран пакетен пакетен сигнал в страничния канал

След завършване на предаването на пакета към страничния канал, инжектираният код възстановява състоянието на трансивъра. Сега той е готов отново да работи нормално в контекста на оригиналния фърмуер.

В честотната и времево-честотната област страничният канал изглежда така:

Спектрално и време-честотно представяне на страничния канал

За да тестваме работата на чипа NRF24 с модифициран фърмуер, сглобихме тестов стенд, който включва ключ Logitech с модифициран фърмуер, безжична клавиатура и приемник, сглобен на базата на китайски модул с чип NRF24.

Диаграма на радио прихващане на безжична клавиатура Logitech

NRF24 базиран модул

На пейката, по време на нормална работа на клавиатурата след свързването й към донгъла на Logitech, наблюдавахме предаване на отворени данни при натискане на клавиши в страничния радиоканал и нормално предаване на криптирани данни в основния радиоинтерфейс. Така успяхме да осигурим директно прихващане на въвеждането от клавиатурата на потребителя:

Резултатът от прихващане на въвеждане от клавиатурата

Инжектираният код въвежда малки забавяния в работата на фърмуера на донгъла. Те обаче са твърде малки, за да ги забележи потребителят.

Както разбирате, всяка клавиатура на Logitech, която е съвместима с технологията Unifying, може да се използва за такъв вектор на атака. Тъй като атаката е насочена към Unifying приемника, който е включен в повечето клавиатури на Logitech, тя не зависи от конкретния модел клавиатура.

Заключение

Резултатите от проучването предполагат, че разглежданият сценарий може да бъде използван от нападатели: ако хакер замени жертвата с приемник за ключ за безжична клавиатура Logitech, той ще може да разбере паролите за акаунтите на жертвата с всички произтичащи от това последствия. Не забравяйте, че също така е възможно да се инжектират натискания на клавиши, което означава, че не е трудно да се изпълни произволен код на компютъра на жертвата.

Какво ще стане, ако нападателят може дистанционно да модифицира фърмуера на всеки донгъл на Logitech чрез USB? След това, от близко разположени ключове, можете да добавите мрежа от повторители и да увеличите разстоянието на изтичане. Макар и модерни средства за радиоприемане с високо селективни системи, чувствителните радиоприемници с кратко време за настройка на честотата и тясно насочени антени ще позволят на „финансово осигурен“ нападател да „слуша“ въвеждането от клавиатурата и да натиска клавиши дори от съседна сграда.

Професионална радиотехника

Тъй като безжичната връзка за данни на клавиатурата на Logitech е доста добре защитена, откритият вектор на атака изисква физически достъп до приемника, което значително ограничава нападателя. Единствената опция за защита в този случай може да бъде използването на механизми за криптографска защита за фърмуера на приемника, например проверка на подписа на изтегления фърмуер от страната на приемника. Но, за съжаление, NRF24 не поддържа това и е невъзможно да се приложи защита в рамките на текущата архитектура на устройството. Така че пазете вашите донгъли, защото описаната опция за атака изисква физически достъп до тях.

Raccoon Security е специализиран екип от експерти на Vulkan STC в областта на практическата информационна сигурност, криптографията, схемите, обратното инженерство и разработката на софтуер на ниско ниво.

Източник: www.habr.com