שמור על הדונגלים שלך: מחקר בטיחות של מקלט מקלדת Logitech

היסטורית, רוב העובדים משתמשים במקלדות ועכברים אלחוטיים מבית Logitech. כשהזינו שוב את הסיסמאות שלנו, שאלנו את עצמנו, המומחים של צוות ה-Raccoon Security: עד כמה קשה לעקוף את מנגנוני האבטחה של מקלדות אלחוטיות? המחקר חשף פגמים ארכיטקטוניים ושגיאות תוכנה המאפשרות גישה לנתוני קלט. מתחת לגזרה זה מה שקיבלנו.

למה Logitech?

לדעתנו, מכשירי הקלט של Logitech הם מהאיכותיים והנוחים ביותר. רוב המכשירים שברשותנו מבוססים על פתרון Logitech האחדת הוא מקלט דונגל אוניברסלי המאפשר לחבר עד 6 מכשירים. כל המכשירים התואמים לטכנולוגיית Logitech Unifying מסומנים בלוגו של Logitech Unifying. קל לשימוש приложение מאפשר לך לנהל את החיבור של מקלדות אלחוטיות למחשב שלך. תהליך חיבור המקלדת לדונגל המקלט של Logitech, כמו גם הטכנולוגיה עצמה, מכוסה, למשל, כאן.

מקלט דונגל עם תמיכה של Logitech Unifying

המקלדת יכולה להפוך למקור מידע עבור תוקפים. Logitech, בהתחשב באיום האפשרי, דאגה לאבטחה - השתמשה באלגוריתם ההצפנה AES128 בערוץ הרדיו של המקלדת האלחוטית. המחשבה הראשונה שיכולה להיות לתוקף במצב זה היא ליירט מידע מפתח כאשר הוא משודר בערוץ רדיו במהלך ההליך המחייב. אחרי הכל, אם יש לך מפתח, אתה יכול ליירט את אותות הרדיו של המקלדת ולפענח אותם. עם זאת, המשתמש רק לעתים רחוקות (או אפילו לעולם לא) צריך לאחד את המקלדת, והאקר עם רדיו סורק יצטרך לחכות זמן רב. בנוסף, לא הכל כל כך פשוט בתהליך היירוט עצמו. במחקר האחרון ביוני 2019, מומחה האבטחה Markus Mengs פרסם באינטרנט сообщение על גילוי של פגיעות בקושחה ישנה של דונגלים USB של Logitech. זה מאפשר לתוקפים עם גישה פיזית למכשירים להשיג מפתחות הצפנה של ערוצי רדיו ולהחדיר הקשות (CVE-2019-13054).

נדבר על מחקר האבטחה שלנו על הדונגל של Logitech המבוסס על NRF24 SoC מבית Nordic Semiconductor. נתחיל, אולי, בערוץ הרדיו עצמו.

איך נתונים "עפים" בערוץ רדיו

לניתוח תדר זמן של אות הרדיו, השתמשנו במקלט SDR המבוסס על התקן Blade-RF במצב מנתח ספקטרום (תוכלו לקרוא גם על זה כאן).

התקן SDR Blade-RF

שקלנו גם את האפשרות להקליט ריבועים של אות הרדיו בתדר ביניים, שאותו ניתן לאחר מכן לנתח באמצעות טכניקות עיבוד אותות דיגיטליות.

הוועדה הממלכתית לתדרי רדיו בפדרציה הרוסית מוּתָר לשימוש במכשירים קצרי טווח, טווח התדרים הוא 2400–2483,5 מגה-הרץ. זהו טווח "מאוכלס" מאוד, בו לא תמצאו כלום: Wi-Fi, בלוטות', כל מיני שלטים, מערכות אבטחה, גלאים אלחוטיים, עכברים עם מקלדות ושאר מכשירים דיגיטליים אלחוטיים.

ספקטרום של פס 2,4 גיגה-הרץ

סביבת ההפרעות בטווח מורכבת למדי. למרות זאת, לוג'יטק הצליחה לספק קליטה אמינה ויציבה באמצעות שימוש בפרוטוקול Enhanced ShockBurst במקלט המשדר NRF24 בשילוב עם אלגוריתמים להתאמת תדרים.

ערוצים בפס ממוקמים במיקומי מגה-הרץ שלמים כמוגדר ב מפרטים NRF24 Nordic Semiconductor - סה"כ 84 ערוצים ברשת התדרים. מספר ערוצי התדר בשימוש בו-זמנית על ידי Logitech הוא, כמובן, פחות. זיהינו את השימוש של לפחות ארבעה. בשל רוחב הפס המוגבל של מנתח ספקטרום האותות בשימוש, לא ניתן היה לקבוע את הרשימה המדויקת של מיקומי התדרים בהם נעשה שימוש, אך הדבר לא היה הכרחי. מידע מהמקלדת לדונגל המקלט מועבר במצב Burst (סיבובים קצרים בהפעלת המשדר) באמצעות אפנון תדר דו-מצבי GFSK בקצב סמל של 1 Mbaud:

אות רדיו מקלדת בייצוג זמן

המקלט משתמש בעקרון המתאם של קליטה, ולכן החבילה המשודרת מכילה הקדמה וחלק כתובת. לא נעשה שימוש בקידוד עמיד לרעשים; גוף הנתונים מוצפן באמצעות אלגוריתם AES128.

באופן כללי, ניתן לאפיין את ממשק הרדיו של המקלדת האלחוטית של Logitech כאסינכרוני לחלוטין עם ריבוי סטטיסטי והתאמת תדרים. המשמעות היא שמשדר המקלדת מחליף את הערוץ לשידור כל חבילה חדשה. המקלט אינו יודע מראש לא את זמן השידור ולא את ערוץ התדר, אלא רק הרשימה שלהם ידועה. המקלט והמשדר נפגשים בערוץ הודות לאלגוריתמים מתואמים של עקיפת תדרים והאזנה, כמו גם מנגנוני אישור ShockBurst משופרים. לא בדקנו אם רשימת הערוצים סטטית. כנראה שהשינוי שלו נובע מאלגוריתם התאמת התדר. ניתן לראות משהו קרוב לשיטת דילוג התדר (כוונון פסאודו אקראי של תדר ההפעלה) בשימוש במשאב התדרים של הטווח.

לפיכך, בתנאים של אי ודאות בתדר זמן, כדי להבטיח קליטה מובטחת של כל אותות המקלדת, תוקף יצטרך לנטר כל הזמן את כל רשת התדרים של 84 עמדות, מה שדורש פרק זמן משמעותי. כאן מתברר מדוע פגיעות חילוץ מפתח USB (CVE-2019-13054) במקורות ממוקמת כיכולת להחדיר הקשות, במקום לקבל גישה של תוקף לנתונים שהוכנסו מהמקלדת. ברור שממשק הרדיו של המקלדת האלחוטית מורכב למדי ומספק תקשורת רדיו אמינה בין מכשירי Logitech בתנאי הפרעות קשים בפס 2,4 גיגה-הרץ.

מבט על הבעיה מבפנים

למחקר שלנו, בחרנו באחת ממקלדות Logitech K330 הקיימות שלנו ובדנגל של Logitech Unifying.

Logitech K330

בואו נסתכל בתוך המקלדת. מרכיב מעניין בלוח ללימוד הוא שבב SoC NRF24 מבית Nordic Semiconductor.

SoC NRF24 על לוח מקלדת אלחוטי של Logitech K330

הקושחה ממוקמת בזיכרון הפנימי, מנגנוני קריאה ואיתור באגים מושבתים. למרבה הצער, הקושחה לא פורסמה במקורות פתוחים. לכן, החלטנו לגשת לבעיה מהצד השני – ללמוד את התכנים הפנימיים של מקלט הדונגל של Logitech.

"העולם הפנימי" של מקלט הדונגל הוא די מעניין. הדונגל מתפרק בקלות, נושא על סיפונו את המהדורה המוכרת של NRF24 עם בקר USB מובנה וניתן לתכנות מחדש הן מצד ה-USB והן ישירות מהמתכנת.

דונגל לוג'יטק ללא דיור

מאחר וקיים מנגנון סטנדרטי לעדכון הקושחה באמצעות יישומי כלי עדכון קושחה (ממנה ניתן לחלץ את גרסת הקושחה המעודכנת), אין צורך לחפש את הקושחה בתוך הדונגל.

מה נעשה: קושחה RQR_012_005_00028.bin חולצה מגוף היישום Firmware Update Tool. כדי לבדוק את תקינותו, בקר הדונגל חובר באמצעות כבל למתכנת ChipProg-48:

כבל לחיבור הדונגל של Logitech למתכנת ChipProg 48

כדי לשלוט על שלמות הקושחה, היא הושמה בהצלחה בזיכרון הבקר ופעלה כהלכה, המקלדת והעכבר חוברו לדונגל באמצעות Logitech Unifying. ניתן להעלות קושחה שונה באמצעות מנגנון העדכון הסטנדרטי, מכיוון שאין מנגנוני הגנה קריפטוגרפיים לקושחה. למטרות מחקר, השתמשנו בחיבור פיזי למתכנת, שכן איתור באגים הוא הרבה יותר מהיר בדרך זו.

מחקר קושחה והתקפה על קלט משתמש

שבב NRF24 תוכנן על בסיס ליבת המחשוב Intel 8051 בארכיטקטורת הרווארד המסורתית. עבור הליבה, מקלט המשדר פועל כמכשיר היקפי וממוקם במרחב הכתובות כקבוצה של אוגרים. ניתן למצוא תיעוד עבור השבב ודוגמאות קוד המקור באינטרנט, ולכן פירוק הקושחה אינו קשה. במהלך הנדסה לאחור, מיקמנו את הפונקציות לקבלת נתוני הקשות מערוץ הרדיו והמרתם לפורמט HID לשידור למארח באמצעות ממשק ה-USB. קוד ההזרקה הוצב בכתובות זיכרון פנוי, שכללו כלים ליירוט שליטה, שמירה ושחזור של הקשר הביצוע המקורי, וכן קוד פונקציונלי.

חבילת הלחיצה או שחרור מפתח שמתקבלת על ידי הדונגל מערוץ הרדיו מפוענחת, מומרת לדוח HID סטנדרטי ונשלחת לממשק ה-USB כמו ממקלדת רגילה. במסגרת המחקר, החלק בדו"ח HID שהכי מעניין אותנו הוא החלק של דו"ח HID המכיל בית של דגלי משנה ומערך של 6 בתים עם קודי הקשות (לעיון, מידע על HID כאן).

מבנה דוחות HID:

// Keyboard HID report structure.
// See https://flylib.com/books/en/4.168.1.83/1/ (last access 2018 december)
// "Reports and Report Descriptors", "Programming the Microsoft Windows Driver Model"
typedef struct{
    uint8_t Modifiers;
    uint8_t Reserved;
    uint8_t KeyCode[6];
}HidKbdReport_t;

מיד לפני העברת מבנה ה-HID למארח, הקוד המוזרק משתלט, מעתיק 8 בתים של נתוני HID מקוריים בזיכרון ושולח אותם לערוץ הרדיו בצד ברור. בקוד זה נראה כך:

//~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~>
// Profiling have shown time execution ~1.88 mSec this block of code
SaveRfState();                  // save transceiver state
RfInitForTransmition(TransmitRfAddress);        // configure for special trnsmition
hal_nrf_write_tx_payload_noack(pDataToSend,sizeof(HidKbdReport_t)); // Write payload to radio TX FIFO
CE_PULSE();                 // Toggle radio CE signal to start transmission
RestoreRfState();               // restore original transceiver state
//~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~<

הערוץ הצדדי מאורגן בתדר שקבענו עם מאפיינים מסוימים של מהירות המניפולציה ומבנה החבילות.

תפעול המשדר בשבב NRF24 מבוסס על גרף מצב שבו פרוטוקול Enhanced ShockBurst משולב באופן אורגני. מצאנו שמיד לפני העברת נתוני HID לממשק ה-USB המארח, מקלט המשדר היה במצב IDLE. זה מאפשר להגדיר מחדש בבטחה לפעול בערוץ צדדי. הקוד המוזרק מיירט את השליטה, שומר על תצורת מקלט המשדר המקורי במלואה ומעביר אותה למצב שידור חדש בערוץ הצדדי. מנגנון האישור המשופר של ShockBurst מושבת במצב זה; נתוני HID מועברים בצורה ברורה באוויר. מבנה החבילה בערוץ הצד מוצג באיור למטה, דיאגרמות האותות התקבלו לאחר דמודולציה ולפני שחזור סנכרון שעון הנתונים. ערך הכתובת נבחר על מנת להקל על זיהוי חזותי של החבילה.

אות פרץ פרץ מפורק בערוץ צדדי

לאחר שידור החבילה לערוץ הצדדי, הקוד המוזרק משחזר את מצב המקלט המשדר. כעת הוא שוב מוכן לעבוד כרגיל בהקשר של הקושחה המקורית.

בתחומי התדר ותדר הזמן, הערוץ הצדדי נראה כך:

ייצוג ספקטרלי ותדר זמן של ערוץ הצד

כדי לבדוק את פעולת שבב NRF24 עם קושחה שונה, הרכבנו מעמד שכלל דונגל של לוג'יטק עם קושחה שונה, מקלדת אלחוטית ומקלט שהורכב על בסיס מודול סיני עם שבב NRF24.

מעגל יירוט אותות רדיו מקלדת אלחוטית של Logitech

מודול מבוסס NRF24

על הספסל, כשהמקלדת פועלת כרגיל, לאחר חיבורה לדונגל הלוג'יטק, צפינו בהעברת נתונים ברורים על הקשות על מקשים בערוץ הרדיו הצדדי ושידור רגיל של נתונים מוצפנים בממשק הרדיו הראשי. לפיכך, הצלחנו לספק יירוט ישיר של קלט מקלדת המשתמש:

התוצאה של יירוט קלט מקלדת

הקוד המוזרק מציג עיכובים קלים בפעולת הקושחה של הדונגל. עם זאת, הם קטנים מכדי שהמשתמש יבחין.

כפי שאתה יכול לדמיין, כל מקלדת Logitech התואמת לטכנולוגיית Unifying יכולה לשמש עבור וקטור ההתקפה הזה. מכיוון שההתקפה מכוונת למקלט Unifying הכלול ברוב מקלדות Logitech, היא אינה תלויה בדגם המקלדת הספציפי.

מסקנה

תוצאות המחקר מצביעות על שימוש אפשרי בתרחיש הנחשב על ידי תוקפים: אם האקר יחליף את הקורבן במקלט דונגל עבור מקלדת אלחוטית של Logitech, אז הוא יוכל לגלות את הסיסמאות לחשבונות של הקורבן עם כל הפעולות הבאות. השלכות. אל תשכח שאפשר גם להזריק הקשות, מה שאומר שלא קשה לבצע קוד שרירותי במחשב של הקורבן.

מה אם פתאום תוקף יכול לשנות מרחוק את הקושחה של כל דונגל של Logitech באמצעות USB? לאחר מכן, מדונגלים מרווחים קרובים, אתה יכול ליצור רשת של משחזרים ולהגדיל את מרחק הדליפה. למרות שתוקף "עשיר כלכלית" יוכל "להאזין" לקלט מקלדת וללחוץ על מקשים אפילו מבניין סמוך, ציוד קליטה רדיו מודרני עם מערכות סלקטיביות ביותר, מקלטי רדיו רגישים עם זמני כוונון תדרים קצרים ואנטנות כיווניות מאוד יאפשרו להם "להאזין" לקלט מקלדת וללחוץ על מקשים אפילו מבניין סמוך.

ציוד רדיו מקצועי

מכיוון שערוץ העברת הנתונים האלחוטי של מקלדת Logitech מוגן היטב, וקטור ההתקפה שנמצא דורש גישה פיזית למקלט, מה שמגביל מאוד את התוקף. אפשרות ההגנה היחידה במקרה זה תהיה שימוש במנגנוני הגנה קריפטוגרפיים עבור קושחת המקלט, למשל, בדיקת החתימה של הקושחה הטעונה בצד המקלט. אבל, למרבה הצער, NRF24 אינו תומך בכך ואי אפשר ליישם הגנה בארכיטקטורת המכשיר הנוכחית. אז שמרו על הדונגלים שלכם, כי אפשרות ההתקפה המתוארת דורשת גישה פיזית אליהם.

Raccoon Security הוא צוות מיוחד של מומחים ממרכז המחקר והפיתוח של וולקן בתחום אבטחת מידע מעשית, קריפטוגרפיה, עיצוב מעגלים, הנדסה לאחור ויצירת תוכנה ברמה נמוכה.

מקור: www.habr.com