Thunderspy - seri serangan ing peralatan karo antarmuka Thunderbolt

Dicethakaké Informasi babagan pitung kerentanan ing peralatan karo antarmuka Thunderbolt, united ing jeneng kode Gludhug lan lulus kabeh komponen keamanan Thunderbolt utama. Adhedhasar masalah sing diidentifikasi, sangang skenario serangan diusulake, dileksanakake yen panyerang nduweni akses lokal menyang sistem liwat nyambungake piranti angkoro utawa manipulasi perangkat kukuh.

Skenario serangan kalebu kemampuan kanggo nggawe pengenal piranti Thunderbolt sing sewenang-wenang, kloning piranti sah, akses acak menyang memori sistem liwat DMA lan ngganti setelan Tingkat Keamanan, kalebu mateni kabeh mekanisme proteksi, mblokir instalasi nganyari perangkat kukuh lan terjemahan antarmuka menyang mode Thunderbolt ing sistem winates kanggo USB utawa DisplayPort nerusake.

Thunderbolt minangka antarmuka universal kanggo nyambungake piranti peripheral sing nggabungake antarmuka PCIe (PCI Express) lan DisplayPort ing siji kabel. Thunderbolt dikembangake dening Intel lan Apple lan digunakake ing akeh laptop lan PC modern. Piranti Thunderbolt basis PCIe diwenehake karo DMA I / O, sing nyebabake ancaman serangan DMA kanggo maca lan nulis kabeh memori sistem utawa njupuk data saka piranti sing dienkripsi. Kanggo nyegah serangan kasebut, Thunderbolt ngusulake konsep Tingkat Keamanan, sing ngidini mung nggunakake piranti sing sah pangguna lan nggunakake otentikasi kriptografi sambungan kanggo nglindhungi saka pemalsuan ID.

Kerentanan sing diidentifikasi ndadekake bisa ngliwati ikatan kasebut lan nyambungake piranti sing mbebayani kanthi kedok sing sah. Kajaba iku, sampeyan bisa ngowahi firmware lan ngalihake SPI Flash menyang mode mung maca, sing bisa digunakake kanggo mateni tingkat keamanan lan nglarang nganyari perangkat kukuh (utilitas wis disiapake kanggo manipulasi kasebut. tcfp и spiblock). Secara total, informasi babagan pitung masalah dibeberke:

• Panganggone skema verifikasi perangkat kukuh sing ora nyukupi;
• Nggunakake skema otentikasi piranti sing lemah;
• Ngunggah metadata saka piranti sing ora diakoni;
• Kasedhiyan mekanisme kompatibilitas mundur sing ngidini nggunakake serangan rollback ing teknologi sing rawan;
• Nggunakake parameter konfigurasi pengontrol sing ora dikonfirmasi;
• Glitches ing antarmuka kanggo SPI Flash;
• Lack saka peralatan protèktif ing tingkat Kamp pelatihan.

Kerentanan mengaruhi kabeh piranti sing dilengkapi Thunderbolt 1 lan 2 (basis DisplayPort Mini) lan Thunderbolt 3 (basis USB-C). Ora jelas manawa ana masalah ing piranti sing nganggo USB 4 lan Thunderbolt 4, amarga teknologi kasebut mung diumumake lan durung ana cara kanggo nyoba implementasine. Kerentanan ora bisa diilangi dening piranti lunak lan mbutuhake desain ulang komponen hardware. Nanging, kanggo sawetara piranti anyar bisa mblokir sawetara masalah sing ana gandhengane karo DMA nggunakake mekanisme kasebut Kernel DMA Protection, dhukungan sing diwiwiti wiwit taun 2019 (didhukung dening ing kernel Linux, diwiwiti karo release 5.0, sampeyan bisa mriksa inklusi liwat "/sys/bus/thunderbolt/devices/domainX/iommu_dma_protection").

Skrip Python diwenehake kanggo mriksa piranti sampeyan Spycheck, sing mbutuhake mlaku minangka ROOT kanggo ngakses DMI, ACPI DMAR tabel lan WMI. Kanggo nglindhungi sistem sing rawan, disaranake sampeyan ora ninggalake sistem tanpa pengawasan utawa ing mode siyaga, aja nyambungake piranti Thunderbolt wong liya, aja ninggalake utawa nransfer piranti menyang wong liya, lan priksa manawa piranti sampeyan aman kanthi fisik. Yen Thunderbolt ora dibutuhake, disaranake mateni pengontrol Thunderbolt ing UEFI utawa BIOS (iki bisa nyebabake port USB lan DisplayPort ora bisa digunakake yen dileksanakake liwat pengontrol Thunderbolt).

Source: opennet.ru