थंडरस्पाई - थंडरबोल्ट इंटरफ़ेस वाले उपकरणों पर हमलों की एक श्रृंखला

दिखाया गया के बारे में जानकारी सात कमजोरियाँ थंडरबोल्ट इंटरफ़ेस वाले उपकरण में, कोड नाम के तहत एकजुट गरजना और सभी प्रमुख थंडरबोल्ट सुरक्षा घटकों को बायपास करें। पहचानी गई समस्याओं के आधार पर, नौ हमले के परिदृश्य प्रस्तावित हैं, जिन्हें तब लागू किया जाता है जब हमलावर के पास किसी दुर्भावनापूर्ण डिवाइस को कनेक्ट करने या फ़र्मवेयर में हेरफेर करने के माध्यम से सिस्टम तक स्थानीय पहुंच होती है।

हमले के परिदृश्यों में मनमाने ढंग से थंडरबोल्ट उपकरणों के पहचानकर्ता बनाने, अधिकृत उपकरणों को क्लोन करने, डीएमए के माध्यम से सिस्टम मेमोरी तक यादृच्छिक पहुंच और सुरक्षा स्तर सेटिंग्स को ओवरराइड करने की क्षमता शामिल है, जिसमें सभी सुरक्षा तंत्रों को पूरी तरह से अक्षम करना, फर्मवेयर अपडेट की स्थापना और थंडरबोल्ट मोड पर इंटरफ़ेस अनुवाद को अवरुद्ध करना शामिल है। सिस्टम USB या डिस्प्लेपोर्ट फ़ॉरवर्डिंग तक सीमित हैं।

थंडरबोल्ट परिधीय उपकरणों को जोड़ने के लिए एक सार्वभौमिक इंटरफ़ेस है जो एक केबल में पीसीआईई (पीसीआई एक्सप्रेस) और डिस्प्लेपोर्ट इंटरफेस को जोड़ता है। थंडरबोल्ट इंटेल और ऐप्पल द्वारा विकसित किया गया था और इसका उपयोग कई आधुनिक लैपटॉप और पीसी में किया जाता है। PCIe-आधारित थंडरबोल्ट डिवाइस DMA I/O के साथ प्रदान किए जाते हैं, जो संपूर्ण सिस्टम मेमोरी को पढ़ने और लिखने या एन्क्रिप्टेड डिवाइस से डेटा कैप्चर करने के लिए DMA हमलों का खतरा पैदा करता है। ऐसे हमलों को रोकने के लिए, थंडरबोल्ट ने सुरक्षा स्तरों की अवधारणा का प्रस्ताव रखा, जो केवल उपयोगकर्ता-अधिकृत उपकरणों के उपयोग की अनुमति देता है और आईडी जालसाजी से बचाने के लिए कनेक्शन के क्रिप्टोग्राफ़िक प्रमाणीकरण का उपयोग करता है।

पहचानी गई कमजोरियाँ इस तरह के बंधन को बायपास करना और अधिकृत डिवाइस की आड़ में एक दुर्भावनापूर्ण डिवाइस को कनेक्ट करना संभव बनाती हैं। इसके अलावा, फर्मवेयर को संशोधित करना और एसपीआई फ्लैश को रीड-ओनली मोड में स्विच करना संभव है, जिसका उपयोग सुरक्षा स्तरों को पूरी तरह से अक्षम करने और फर्मवेयर अपडेट को प्रतिबंधित करने के लिए किया जा सकता है (ऐसे हेरफेर के लिए उपयोगिताएं तैयार की गई हैं) टीसीएफपी и स्पिब्लॉक). कुल मिलाकर, सात समस्याओं के बारे में जानकारी का खुलासा किया गया:

• अपर्याप्त फ़र्मवेयर सत्यापन योजनाओं का उपयोग;
• कमजोर डिवाइस प्रमाणीकरण योजना का उपयोग करना;
• किसी अप्रमाणित डिवाइस से मेटाडेटा लोड हो रहा है;
• बैकवर्ड संगतता तंत्र की उपलब्धता जो रोलबैक हमलों के उपयोग की अनुमति देती है कमजोर प्रौद्योगिकियाँ;
• अप्रमाणित नियंत्रक कॉन्फ़िगरेशन पैरामीटर का उपयोग करना;
• एसपीआई फ़्लैश के इंटरफ़ेस में गड़बड़ियाँ;
• स्तर पर सुरक्षा उपकरणों का अभाव बूट शिविर.

यह भेद्यता थंडरबोल्ट 1 और 2 (मिनी डिस्प्लेपोर्ट आधारित) और थंडरबोल्ट 3 (यूएसबी-सी आधारित) से लैस सभी उपकरणों को प्रभावित करती है। यह अभी तक स्पष्ट नहीं है कि यूएसबी 4 और थंडरबोल्ट 4 वाले उपकरणों में समस्याएं दिखाई देती हैं या नहीं, क्योंकि इन तकनीकों की अभी घोषणा ही हुई है और उनके कार्यान्वयन का परीक्षण करने का अभी तक कोई तरीका नहीं है। कमजोरियों को सॉफ़्टवेयर द्वारा समाप्त नहीं किया जा सकता है और इसके लिए हार्डवेयर घटकों के पुन: डिज़ाइन की आवश्यकता होती है। हालाँकि, कुछ नए उपकरणों के लिए तंत्र का उपयोग करके डीएमए से जुड़ी कुछ समस्याओं को रोकना संभव है कर्नेल डीएमए सुरक्षा, जिसके लिए समर्थन 2019 से लागू किया जाना शुरू हुआ (का समर्थन किया लिनक्स कर्नेल में, रिलीज़ 5.0 से शुरू करके, आप "/sys/bus/thunderbolt/devices/domainX/iommu_dma_protection") के माध्यम से समावेशन की जांच कर सकते हैं।

आपके उपकरणों की जांच के लिए एक पायथन स्क्रिप्ट प्रदान की गई है टपकाना, जिसे DMI, ACPI DMAR तालिका और WMI तक पहुंचने के लिए रूट के रूप में चलाने की आवश्यकता है। कमजोर सिस्टम की सुरक्षा के लिए, हम अनुशंसा करते हैं कि आप सिस्टम को बिना निगरानी के चालू या स्टैंडबाय मोड में न छोड़ें, किसी और के थंडरबोल्ट डिवाइस को कनेक्ट न करें, अपने डिवाइस को न छोड़ें या दूसरों को न दें, और सुनिश्चित करें कि आपके डिवाइस भौतिक रूप से सुरक्षित हैं। यदि थंडरबोल्ट की आवश्यकता नहीं है, तो यूईएफआई या BIOS में थंडरबोल्ट नियंत्रक को अक्षम करने की अनुशंसा की जाती है (इसके कारण यूएसबी और डिस्प्लेपोर्ट पोर्ट काम नहीं कर सकते हैं यदि उन्हें थंडरबोल्ट नियंत्रक के माध्यम से कार्यान्वित किया जाता है)।

स्रोत: opennet.ru