Thunderspy - поредица от атаки срещу оборудване с интерфейс Thunderbolt

Разкрити Информация относно седем уязвимости в оборудване с интерфейс Thunderbolt, обединени под кодовото име Гръмотевица и заобиколете всички основни компоненти за сигурност на Thunderbolt. Въз основа на идентифицираните проблеми са предложени девет сценария за атака, реализирани, ако атакуващият има локален достъп до системата чрез свързване на злонамерено устройство или манипулиране на фърмуера.

Сценариите за атака включват възможност за създаване на идентификатори на произволни Thunderbolt устройства, клониране на оторизирани устройства, произволен достъп до системната памет чрез DMA и замяна на настройките за ниво на защита, включително пълно деактивиране на всички защитни механизми, блокиране на инсталирането на актуализации на фърмуера и преводи на интерфейса към режим Thunderbolt на системи, ограничени до USB или DisplayPort пренасочване.

Thunderbolt е универсален интерфейс за свързване на периферни устройства, който комбинира PCIe (PCI Express) и DisplayPort интерфейси в един кабел. Thunderbolt е разработен от Intel и Apple и се използва в много модерни лаптопи и компютри. PCIe-базираните Thunderbolt устройства са снабдени с DMA I/O, което представлява заплаха от DMA атаки за четене и запис на цялата системна памет или за улавяне на данни от криптирани устройства. За да предотврати подобни атаки, Thunderbolt предложи концепцията за нива на сигурност, която позволява използването само на оторизирани от потребителя устройства и използва криптографско удостоверяване на връзките за защита срещу фалшифициране на ID.

Идентифицираните уязвимости позволяват да се заобиколи такова обвързване и да се свърже злонамерено устройство под прикритието на оторизирано. Освен това е възможно да се модифицира фърмуера и да се превключи SPI Flash в режим само за четене, който може да се използва за пълно деактивиране на нивата на сигурност и забрана на актуализации на фърмуера (помощните програми са подготвени за такива манипулации tcfp и spiblock). Общо беше разкрита информация за седем проблема:

• Използване на неадекватни схеми за проверка на фърмуера;
• Използване на слаба схема за удостоверяване на устройството;
• Зареждане на метаданни от неавтентифицирано устройство;
• Наличие на механизми за обратна съвместимост, които позволяват използването на атаки за връщане към уязвими технологии;
• Използване на неавтентифицирани конфигурационни параметри на контролера;
• Бъгове в интерфейса за SPI Flash;
• Липса на предпазни средства на ниво Boot Camp.

Уязвимостта засяга всички устройства, оборудвани с Thunderbolt 1 и 2 (базирани на Mini DisplayPort) и Thunderbolt 3 (базирани на USB-C). Все още не е ясно дали се появяват проблеми в устройства с USB 4 и Thunderbolt 4, тъй като тези технологии са анонсирани току-що и все още няма начин да се тества тяхното внедряване. Уязвимостите не могат да бъдат премахнати от софтуера и изискват редизайн на хардуерните компоненти. За някои нови устройства обаче е възможно да се блокират някои от проблемите, свързани с DMA, като се използва механизмът DMA защита на ядрото, поддръжката за която започна да се прилага от 2019 г. (с подкрепата на в ядрото на Linux, започвайки с версия 5.0, можете да проверите включването чрез “/sys/bus/thunderbolt/devices/domainX/iommu_dma_protection”).

Осигурен е скрипт на Python за проверка на вашите устройства Шпионска проверка, което изисква стартиране като root за достъп до DMI, ACPI DMAR таблица и WMI. За да защитите уязвимите системи, ви препоръчваме да не оставяте системата без надзор включена или в режим на готовност, да не свързвате нечии други Thunderbolt устройства, да не оставяте и да не давате вашите устройства на други и да се уверите, че вашите устройства са физически защитени. Ако Thunderbolt не е необходим, препоръчително е да деактивирате Thunderbolt контролера в UEFI или BIOS (това може да доведе до неработоспособност на USB и DisplayPort портовете, ако са внедрени чрез Thunderbolt контролер).

Източник: opennet.ru