Пазете вашите донгли: проучване за сигурността на приемника на клавиатури Logitech

Исторически повечето служители използват безжични клавиатури и мишки от компания Logitech. Вместо редовно въвеждане на паролите си, ние – специалистите от екипа на Raccoon Security – се запитахме: колко трудно е да се заобиколят механизми за защита на безжичните клавиатури? Проведеното проучване разкри архитектурни недостатъци и софтуерни грешки, които позволяват достъп до въвежданите данни. Под кат – какво успяхме да установим.

Защо Logitech?

Според нас, устройствата за въвеждане на компанията Logitech са едни от най-качествените и удобни. Повечето от наличните у нас устройства са базирани на решението Logitech Unifying е универсален донгл-приемник, който позволява свързване на до 6 устройства. Всички съвместими с технологията Logitech Unifying устройства са маркирани с соответствието на логото. Лесното за използване приложение позволява управление на свързването на безжични клавиатури към компютъра. Подробно как се свързва клавиатурата към донгл-приемника Logitech, както и сама технология, е разгледано, например, тук..

Донгл-приемник с поддръжка на Logitech Unifying

Клавиатурата може да се превърне в източник на информация за злонамерени лица. Компанията Logitech, отчитайки възможна заплаха, е помислила за сигурността – приложила е алгоритъм за криптиране AES128 в радиоканала на безжичната клавиатура. Първата мисъл, която може да посети злонамереното лице в такава ситуация, е улавянето на ключова информация при предаването ѝ по радиоканала по време на процедурата за свързване. Защото, след като разполага с ключа, е възможно да се улавят радиосигналите на клавиатурата и да се декриптират. Но потребителят рядко (или дори никога) не е необходимо да свързва клавиатурата с Unifying процедура, и хакерът с радиоприемник, който сканира, ще трябва да изчака дълго. Освен това самият процес на улавяне не е толкова прост. В последното проучване, проведено през юни 2019 година, експертът по сигурността Маркус Менгс публикува в мрежата съобщение за откритата уязвимост в стари фърмуери на USB донгли Logitech. Тя позволява на злонамерени лица с физически достъп до устройствата да получат ключовете за криптиране на радиоканала и да инжектират клавишни натискания (CVE-2019-13054).

Ще ви разкажем за нашето изследване на сигурността на донгъла Logitech, базиран на SoC NRF24 от Nordic Semiconductor. Нека започнем, може би, с радиоканала.

Как данните „летят“ в радиоканала

За честотно-времевия анализ на радиосигнала използвахме SDR приемник на базата на устройството Blade-RF в режим на спектрален анализатор (можете да прочетете за това също) тук.).

Устройството SDR Blade-RF

Също разгледахме възможността за запис на квадрати на радиосигнала на междинна честота, за да ги анализираме с помощта на цифрови методи за обработка на сигнали.

Държавната комисия по радиочестотите в Руската федерация е разрешен за използване от устройства с малък радиус в диапазона на честоти 2400–2483,5 MHz. Това е много „населено“ пространство, в което можете да срещнете всичко: Wi-Fi, Bluetooth, разнообразни дистанционни управления, охранителни системи, безжични детектори, мишки и клавиатури и други безжични цифрови устройства.

Спектърът на участъка от диапазона 2,4 GHz

Смутната обстановка в диапазона е доста сложна. Но въпреки това компанията Logitech успя да осигури надежден и устойчив прием с помощта на протокола Enhanced ShockBurst в трансивера NRF24, комбиниран с алгоритми за честотна адаптация.

Каналите в диапазона са разположени на позиции с цели стойности в MHz, както е определено в спецификация NRF24 Nordic Semiconductor – общо 84 канала в честотната мрежа. Броят на едновременно използваните честотни канали от Logitech е, разбира се, по-малък. Установихме използването на поне четири. Поради ограничената честотна лента на използвания спектрален анализатор не успяхме да определим точния списък на използваните честотни позиции, но и не беше необходимо. Информацията от клавиатурата до донгъла-приемник се предава в режим Burst (с кратки включвания на трансмитера) с използване на дву_positionна честотна модулация GFSK при символната скорост от 1 Мbaud:

Радиосигналът на клавиатурата в времево представяне

Приемникът използва корелационен принцип на приемане, поради което в предадения пакет присъстват преамбула и адресна част. Издържащо на смущения кодиране не се прилага, тялото на данните е криптирано чрез алгоритъм AES128.

Като цяло, радиоинтерфейс на безжичната клавиатура Logitech може да се определи като напълно асинхронен с статистическо уплътняване и честотна адаптация. Това означава, че предавателят на клавиатурата сменя канала за предаване на всеки нов пакет. Приемникът не знае предварително нито времето на предаване, нито честотния канал, а знае само техния списък. Приемникът и предавателят комуникират по канала чрез съгласувани алгоритми за обход и прослушване на честоти, както и механизми за потвърдителни съобщения Enhanced ShockBurst. Не изследвахме дали списъкът на каналите е статичен. Вероятно, неговото изменение се дължи на алгоритъма за честотна адаптация. Нещо близко до метода ППРЧ (псевдослучайна перестройка на работната честота) може да се разпознае в използването на честотния ресурс на диапазона.

Така че, в условия на честотно-времева неопределеност, за да гарантира приема на всички сигнали от клавиатурата, на злоумышленника ще му е необходимо да контролира постоянно цялата решетка от честоти в диапазона от 84 позиции, което изисква значителни времеви разходи. Тук става ясно защо уязвимостта за извличане на ключа чрез USB (CVE-2019-13054) в източниците се позиционира като възможност за инжектиране на натискания на клавиши, а не за достъп на злоумышленника до данните, въведени от клавиатурата. Очевидно е, че радиоинтерфейсът на безжичната клавиатура е достатъчно сложен и осигурява надеждна радиовръзка между устройствата на Logitech в условия на сложна интерференция в диапазона от 2,4 GHz.

Взгляд на проблема изнутри

За изследването избрахме една от наличните клавиатури Logitech K330 и донгла Logitech Unifying.

Logitech K330

Нека надникнем вътре в клавиатурата. Интересен за изследване елемент на платката е чипът SoC NRF24 от Nordic Semiconductor.

SoC NRF24 на платката на безжичната клавиатура Logitech K330

Фърмуерът е разположен във вътрешната памет, механизмите за четене и отстраняване на неизправности са изключени. За съжаление, фърмуерът не е публикуван в откритите източници. Затова решихме да подходим към проблема от друга страна - да изучим вътрешното съдържание на донгл-прийомника Logitech.

Вътрешният свят на донгъл-приемника е проектиран доста интересно. Донгълът лесно се разглобява, притежава познатия ни NRF24 в версия с вграден USB контролер и може да бъде пренаписан както чрез USB, така и директно с програмист.

Донгъл Logitech без корпус

Тъй като съществува стандартен механизъм за обновление на фърмуера с помощта на приложението Firmware Update Tool (от което може да бъде извлечена обновената версия на фърмуера), няма нужда да търсите фърмуера вътре в донгъла.

Какво беше направено: от тялото на приложението Firmware Update Tool беше извлечен фърмуерът RQR_012_005_00028.bin. За проверка на целостта контролерът на донгъла беше свързан с кабел към програмист ChipProg-48:

Кабел за свързване на донгъла Logitech към програмист ChipProg 48

За проверка на целостта на фърмуера той беше успешно поставен в паметта на контролера и работеше коректно, клавиатурата и мишката бяха свързани към донгъла чрез Logitech Unifying. Възможно е презареждане на модифициран фърмуер с помощта на стандартния механизъм за обновление, тъй като не са предвидени никакви механизми за криптографска защита на фърмуера. Ние обаче, с цел изследване, използвахме физическо свързване с програмиста, тъй като така отстраняването на грешки е много по-бързо.

Изследване на фърмуера и атака на потребителския вход

Чипът NRF24 е проектиран на базата на изчислително ядро Intel 8051 в традиционна Харвардска архитектура. За ядрото трансиверът функционира като периферно устройство и е разположен в адресното пространство като набор от регистри. Документацията за чипа и примери с изходен код могат да бъдат намерени в Интернет, така че дисасемблирането на фърмуера не представлява затруднение. По време на реверс инженеринг локализирахме функции за получаване на данни за натискания на клавиши от радиоканала и преобразуването им във формат HID за предаване на хоста през USB интерфейса. В свободните адреси в паметта беше поставен код за инжекция, който съдържаше инструменти за прихващане на контрола, запазване и възстановяване на оригиналния контекст на изпълнението, както и функционален код.

Получения донгла из радиоканала пакет нажатия или отпускания клавиши дешифруется, преобразуется в стандартен HID-репорт и отправляется в USB-интерфейс, как от обикновенна клавиатура. В контекста изследването, за нас най-голям интерес представлява частта на HID-репорта, съдържаща байт флагове-модификатори и масив от 6 байта с кодове на натискания клавиши (за справка информация за HID тук.).

Структура на HID-репорта:

// Keyboard HID report structure.
// See https://flylib.com/books/en/4.168.1.83/1/ (last access 2018 december)
// "Reports and Report Descriptors", "Programming the Microsoft Windows Driver Model"
typedef struct{
    uint8_t Modifiers;
    uint8_t Reserved;
    uint8_t KeyCode[6];
}HidKbdReport_t;

Непосредствено преди предаване на HID-структурата на хоста, инжектираният код получава управление, копира в паметта 8 байта нативни HID-данни и ги изпраща на страничния радиоканал в открит вид. В кода това изглежда така:

//~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~>
// Profiling have shown time execution ~1.88 mSec this block of code
SaveRfState();                  // save transceiver state
RfInitForTransmition(TransmitRfAddress);        // configure for special trnsmition
hal_nrf_write_tx_payload_noack(pDataToSend,sizeof(HidKbdReport_t)); // Write payload to radio TX FIFO
CE_PULSE();                 // Toggle radio CE signal to start transmission
RestoreRfState();               // restore original transceiver state
//~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~<

Страничният канал се организира на установената от нас честота с определени характеристики на скоростта на манипулация и структура на пакета.

Работа на трансивера в чипа NRF24 е основана на графа на състоянията, в която е органично вписан протоколът Enhanced ShockBurst. Установихме, че непосредствено преди предаването на HID-данни в USB-интерфейса на хоста, трансиверът е бил в състояние IDLE. Това прави възможно безопасното му преконфигуриране за работа в страничния канал. Инжектираният код прихваща управлението, запазва оригиналната конфигурация на трансивера в пълен обем и го прехвърля в нов режим на предаване на страничния канал. Механизмът за потвърждение Enhanced ShockBurst в този режим е деактивиран, HID-данните в открит вид се предават в радиоефира. Структурата на пакета в страничния канал е представена на изображението по-долу, епюри на сигнала получени след демодулация и преди възстановяване на тактовата синхронизация на данните. Значението на адреса е избрано за удобство на визуалната идентификация на пакета.

Демодулираният сигнал Burst-пакета в страничния канал

След завършване на предаването на пакета в страничния канал, инжектираният код възстановява състоянието на трансивера. Сега той отново е готов да работи в нормален режим в контекста на оригиналния фърмуер.

В честотната и честотно-времевата области, страничният канал изглежда така, както е показано на изображението:

Спектрално и честотно-времево представяне на страничния канал

За проверка на работата на чипа NRF24 с модифициран фърмуер, събрахме стенд, който включва Logitech донгъл с модифициран фърмуер, безжична клавиатура и приемник, събран на базата на китайски модул с чип NRF24.

Схема за прихващане на радиосигнала на безжичната клавиатура Logitech

Модул на базата на NRF24

На стенда, при нормална работа на клавиатурата след свързването й с донгъла Logitech, наблюдавахме предаване на открити данни за натисканията на клавишите в страничния радиоканал и нормално предаване на криптирани данни в основния радиоинтерфейс. Така успяхме да осигурим директно прихващане на клавиатурния вход на потребителя:

Резултат от прихващането на клавиатурния вход

Инжектираният код внася малки забавяния в работата на фърмуера на донгъла. Въпреки това те са твърде малки, за да могат потребителят да ги забележи.

Както разбирате, за такъв вектор на атака може да се използва всяка клавиатура Logitech, съвместима с технологията Unifying. Тъй като атаката е насочена към приемника Unifying, който идва в комплект с повечето клавиатури Logitech, тя не зависи от конкретния модел на клавиатурата.

Заключение

Получените резултати от изследването насочват към възможното използване на разгледания сценарий от злонамерени лица: ако хакер замени донгъл-приемника на жертвата за безжичната клавиатура Logitech, той ще може да научи паролите към акаунтите на жертвата с всички произтичащи последствия. Не трябва да се забравя, че инжектирането на натискания на клавиши също е възможно, което означава, че изпълнението на произволен код на компютъра на жертвата не представлява трудност.

А ако злонамереното лице успее дистанционно да модифицира фърмуера на който и да е Logitech донгъл чрез USB? Тогава от близко разположените донгли може да се създаде мрежа от реле, увеличаваща дистанцията на изтичане. Въпреки това, „финансово осигурен“ злонамерен човек може да използва съвременни средства за радиоприемане с високо селективни системи, чувствителни радиоприемници с малко време за перестройка на честотата и насочени антени, за да „подслушва“ клавиатурния вход и да натиска клавиши дори от съседната сграда.

Професионално оборудване за радиоприемане

Тъй като безжичният канал за предаване на данни на клавиатурата Logitech е доста добре защитен, откритият вектор на атака изисква физически достъп до приемника, което силно ограничава атакуващия. Единственият вариант за защита в този случай би могло да бъде използването на механизми за криптографска защита за фърмуера на приемника, например проверка на подписа на зареждания фърмуер от страна на приемника. Но, за съжаление, NRF24 не го поддържа и в рамките на настоящата архитектура на устройството реализирането на защита е невъзможно. Така че, пазете вашите донгли, тъй като описаният вариант на атака изисква физически достъп до тях.

Raccoon Security – специализираен екип от експерти на НТЦ "Вулкан" в областта на практическата информационна сигурност, криптография, схемотехника, обратна разработка и създаване на нискоуровнево софтуерно осигуряване.

Източник: habr.com