იზრუნეთ თქვენს დონგებზე: Logitech კლავიატურის მიმღების უსაფრთხოების შესწავლა

ისტორიულად, თანამშრომლების უმეტესობა იყენებს Logitech-ის უკაბელო კლავიატურებს და მაუსებს. ჩვენი პაროლების კიდევ ერთხელ შეყვანისას, ჩვენ, Raccoon Security გუნდის სპეციალისტებმა, საკუთარ თავს ვკითხეთ: რამდენად რთულია უკაბელო კლავიატურების უსაფრთხოების მექანიზმების გვერდის ავლით? კვლევამ გამოავლინა არქიტექტურული ხარვეზები და პროგრამული შეცდომები, რომლებიც შესაყვან მონაცემებზე წვდომის საშუალებას იძლევა. ჭრილის ქვემოთ არის ის, რაც მივიღეთ.

რატომ Logitech?

ჩვენი აზრით, Logitech-ის შეყვანის მოწყობილობები ერთ-ერთი ყველაზე ხარისხიანი და მოსახერხებელია. ჩვენთან არსებული მოწყობილობების უმეტესობა დაფუძნებულია Logitech-ის გადაწყვეტაზე გამაერთიანებელი არის უნივერსალური dongle მიმღები, რომელიც საშუალებას გაძლევთ დააკავშიროთ 6-მდე მოწყობილობა. Logitech Unifying ტექნოლოგიასთან თავსებადი ყველა მოწყობილობა მონიშნულია Logitech Unifying ტექნოლოგიის ლოგოთი. მარტივი გამოსაყენებელი Приложение საშუალებას გაძლევთ მართოთ უკაბელო კლავიატურების კავშირი თქვენს კომპიუტერთან. კლავიატურის Logitech მიმღების დონგლთან დაკავშირების პროცესი, ისევე როგორც თავად ტექნოლოგია, დაფარულია, მაგალითად, აქ.

Dongle მიმღები Logitech Unifying მხარდაჭერით

კლავიატურა შეიძლება გახდეს თავდამსხმელებისთვის ინფორმაციის წყარო. Logitech-მა, შესაძლო საფრთხის გათვალისწინებით, იზრუნა უსაფრთხოებაზე - გამოიყენა AES128 დაშიფვრის ალგორითმი უკაბელო კლავიატურის რადიო არხში. პირველი აზრი, რომელიც შეიძლება ჰქონდეს თავდამსხმელს ამ სიტუაციაში, არის საკვანძო ინფორმაციის ჩაჭრა, როდესაც ის გადაიცემა რადიო არხზე სავალდებულო პროცედურის დროს. ყოველივე ამის შემდეგ, თუ თქვენ გაქვთ გასაღები, შეგიძლიათ ჩაჭრათ კლავიატურის რადიოსიგნალები და გაშიფროთ ისინი. თუმცა, მომხმარებელს იშვიათად (ან თუნდაც არასდროს) უწევს კლავიატურის გაერთიანება, ხოლო სკანირების რადიოს მქონე ჰაკერს მოუწევს დიდი ხნის ლოდინი. გარდა ამისა, ყველაფერი ასე მარტივი არ არის თავად ჩარევის პროცესში. 2019 წლის ივნისის უახლეს კვლევაში, უსაფრთხოების ექსპერტმა მარკუს მენგსმა გამოაქვეყნა ონლაინ сообщение Logitech USB dongles-ის ძველ firmware-ში დაუცველობის აღმოჩენის შესახებ. ის საშუალებას აძლევს თავდამსხმელებს, რომლებსაც აქვთ ფიზიკური წვდომა მოწყობილობებზე, მიიღონ რადიო არხის დაშიფვრის გასაღებები და გააკეთონ კლავიშების დაჭერა (CVE-2019-13054).

ჩვენ ვისაუბრებთ Logitech dongle-ის უსაფრთხოების შესწავლაზე, რომელიც დაფუძნებულია NRF24 SoC-ზე Nordic Semiconductor-ისგან. დავიწყოთ, ალბათ, თავად რადიო არხით.

როგორ "ფრინავს" მონაცემები რადიო არხში

რადიოსიგნალის დროის სიხშირის ანალიზისთვის, ჩვენ გამოვიყენეთ SDR მიმღები Blade-RF მოწყობილობაზე დაფუძნებული სპექტრის ანალიზატორის რეჟიმში (ასევე შეგიძლიათ წაიკითხოთ ამის შესახებ აქ).

SDR Blade-RF მოწყობილობა

ჩვენ ასევე განვიხილეთ რადიოსიგნალის კვადრატების ჩაწერის შესაძლებლობა შუალედურ სიხშირეზე, რომელიც შემდგომ შეიძლება გაანალიზდეს ციფრული სიგნალის დამუშავების ტექნიკის გამოყენებით.

რადიო სიხშირეების სახელმწიფო კომისია რუსეთის ფედერაციაში დაშვებული მოკლე დიაპაზონის მოწყობილობების გამოყენებისთვის, სიხშირის დიაპაზონი არის 2400–2483,5 MHz. ეს არის ძალიან "დასახლებული" დიაპაზონი, რომელშიც ვერაფერს იპოვით: Wi-Fi, Bluetooth, ყველა სახის დისტანციური მართვის პულტი, უსაფრთხოების სისტემები, უკაბელო დეტექტორები, კლავიატურის მაუსები და სხვა უკაბელო ციფრული მოწყობილობები.

2,4 გჰც სიხშირის სპექტრი

ინტერფერენციული გარემო დიაპაზონში საკმაოდ რთულია. ამის მიუხედავად, Logitech-მა შეძლო უზრუნველყოს საიმედო და სტაბილური მიღება NRF24 გადამცემში გაძლიერებული ShockBurst პროტოკოლის გამოყენებით სიხშირის ადაპტაციის ალგორითმებთან ერთად.

არხები დიაპაზონში მოთავსებულია მთელ რიცხვებში MHz პოზიციებზე, როგორც ეს არის განსაზღვრული სპეციფიკაციები NRF24 Nordic Semiconductor - სულ 84 არხი სიხშირის ქსელში. Logitech-ის მიერ ერთდროულად გამოყენებული სიხშირის არხების რაოდენობა, რა თქმა უნდა, ნაკლებია. ჩვენ დავადგინეთ მინიმუმ ოთხის გამოყენება. გამოყენებული სიგნალის სპექტრის ანალიზატორის შეზღუდული გამტარობის გამო, გამოყენებული სიხშირის პოზიციების ზუსტი ჩამონათვალი ვერ დადგინდა, მაგრამ ეს არ იყო საჭირო. ინფორმაცია კლავიატურიდან მიმღების დონგლამდე გადაეცემა Burst რეჟიმში (მოკლე ჩართვა გადამცემის) გამოყენებით ორპოზიციური სიხშირის მოდულაცია GFSK სიმბოლური სიხშირით 1 Mbaud:

კლავიატურის რადიო სიგნალი დროის წარმოდგენაში

მიმღები იყენებს მიღების კორელაციის პრინციპს, ამიტომ გადაცემული პაკეტი შეიცავს პრეამბულას და მისამართის ნაწილს. ხმაურის რეზისტენტული კოდირება არ გამოიყენება; მონაცემთა სხეული დაშიფრულია AES128 ალგორითმით.

ზოგადად, Logitech-ის უკაბელო კლავიატურის რადიო ინტერფეისი შეიძლება დახასიათდეს, როგორც სრულიად ასინქრონული სტატისტიკური მულტიპლექსირებით და სიხშირის ადაპტაციით. ეს ნიშნავს, რომ კლავიატურის გადამცემი ცვლის არხს ყოველი ახალი პაკეტის გადასაცემად. მიმღებმა წინასწარ არ იცის არც გადაცემის დრო და არც სიხშირის არხი, მაგრამ ცნობილია მხოლოდ მათი სია. მიმღები და გადამცემი ხვდებიან არხში კოორდინირებული სიხშირის შემოვლითი და მოსმენის ალგორითმების, ასევე გაძლიერებული ShockBurst აღიარების მექანიზმების წყალობით. ჩვენ არ გამოგვიკვლია არის თუ არა არხების სია სტატიკური. მისი ცვლილება, ალბათ, სიხშირის ადაპტაციის ალგორითმის დამსახურებაა. სიხშირის გადახტომის მეთოდთან მიახლოება (ოპერაციული სიხშირის ფსევდო შემთხვევითი რეგულირება) ჩანს დიაპაზონის სიხშირის რესურსის გამოყენებაში.

ამრიგად, დრო-სიხშირის გაურკვევლობის პირობებში, კლავიატურის ყველა სიგნალის გარანტირებული მიღების უზრუნველსაყოფად, თავდამსხმელს მოუწევს მუდმივად აკონტროლოს მთელი სიხშირის ბადე 84 პოზიციიდან, რაც მოითხოვს მნიშვნელოვან დროს. აქ ირკვევა, თუ რატომ არის USB გასაღების მოპოვების დაუცველობა (CVE-2019-13054) წყაროებში პოზიციონირებულია, როგორც კლავიშების დარტყმის უნარი, ვიდრე თავდამსხმელის წვდომა კლავიატურიდან შეყვანილ მონაცემებზე. ცხადია, უკაბელო კლავიატურის რადიო ინტერფეისი საკმაოდ რთულია და უზრუნველყოფს საიმედო რადიოკავშირს Logitech მოწყობილობებს შორის რთულ ჩარევის პირობებში 2,4 გჰც დიაპაზონში.

შეხედეთ პრობლემას შიგნიდან

ჩვენი კვლევისთვის, ჩვენ ავირჩიეთ ერთ-ერთი არსებული Logitech K330 კლავიატურა და Logitech Unifying dongle.

Logitech K330

მოდით შევხედოთ კლავიატურას შიგნით. დაფაზე შესასწავლი საინტერესო ელემენტია Nordic Semiconductor-ის SoC NRF24 ჩიპი.

SoC NRF24 Logitech K330 უკაბელო კლავიატურის დაფაზე

firmware განთავსებულია შიდა მეხსიერებაში, კითხვისა და გამართვის მექანიზმები გამორთულია. სამწუხაროდ, firmware არ გამოქვეყნებულა ღია წყაროებში. ამიტომ, გადავწყვიტეთ პრობლემას მეორე მხრიდან მივუდგეთ - შეგვესწავლა Logitech dongle მიმღების შიდა შინაარსი.

დონგლის მიმღების "შინაგანი სამყარო" საკმაოდ საინტერესოა. დონგლი ადვილად იშლება, ატარებს ნაცნობ NRF24 გამოშვებას ჩაშენებული USB კონტროლერით და შეიძლება ხელახლა დაპროგრამდეს როგორც USB მხრიდან, ასევე პირდაპირ პროგრამისტიდან.

Logitech dongle საბინაო გარეშე

ვინაიდან არსებობს სტანდარტული მექანიზმი firmware-ის გამოყენებით განახლებისთვის Firmware Update Tool აპლიკაციები (საიდანაც შეგიძლიათ ამოიღოთ პროგრამული უზრუნველყოფის განახლებული ვერსია), არ არის საჭირო დუნგლის შიგნით პროგრამული უზრუნველყოფის ძებნა.

რა გაკეთდა: firmware RQR_012_005_00028.bin ამოღებულია Firmware Update Tool აპლიკაციის კორპუსიდან. მისი მთლიანობის შესამოწმებლად, dongle კონტროლერი იყო დაკავშირებული კაბელით ChipProg-48 პროგრამისტს:

კაბელი Logitech dongle-ის ChipProg 48 პროგრამისტთან დასაკავშირებლად

პროგრამული უზრუნველყოფის მთლიანობის გასაკონტროლებლად, ის წარმატებით განთავსდა კონტროლერის მეხსიერებაში და სწორად მუშაობდა, კლავიატურა და მაუსი Logitech Unifying-ის საშუალებით დაუკავშირდა დონგლს. შესაძლებელია შეცვლილი პროგრამული უზრუნველყოფის ატვირთვა სტანდარტული განახლების მექანიზმის გამოყენებით, რადგან არ არსებობს კრიპტოგრაფიული დაცვის მექანიზმები firmware-სთვის. კვლევის მიზნებისთვის, ჩვენ გამოვიყენეთ ფიზიკური კავშირი პროგრამისტთან, რადგან ამ გზით გამართვა ბევრად უფრო სწრაფია.

პროგრამული უზრუნველყოფის კვლევა და შეტევა მომხმარებლის შეყვანაზე

NRF24 ჩიპი შექმნილია Intel 8051 გამოთვლითი ბირთვის საფუძველზე ჰარვარდის ტრადიციულ არქიტექტურაში. ბირთვისთვის, გადამცემი მოქმედებს როგორც პერიფერიული მოწყობილობა და განთავსებულია მისამართების სივრცეში, როგორც რეგისტრების ნაკრები. ჩიპის და წყაროს კოდის მაგალითების დოკუმენტაცია შეგიძლიათ იხილოთ ინტერნეტში, ამიტომ firmware-ის დაშლა არ არის რთული. საპირისპირო ინჟინერიის დროს, ჩვენ მოვახდინეთ ფუნქციების ლოკალიზება რადიო არხიდან კლავიშების დარტყმის მონაცემების მისაღებად და მისი HID ფორმატში გადასაცემად USB ინტერფეისის საშუალებით ჰოსტზე გადასაცემად. ინექციის კოდი განთავსდა უფასო მეხსიერების მისამართებში, რომელიც მოიცავდა ინსტრუმენტებს კონტროლის ჩარევისთვის, ორიგინალური შესრულების კონტექსტის შესანახად და აღდგენისთვის, ასევე ფუნქციურ კოდს.

რადიოარხიდან დონგლის მიერ მიღებული გასაღების დაჭერის ან გათავისუფლების პაკეტი დეშიფრირებულია, გარდაიქმნება სტანდარტულ HID ანგარიშში და იგზავნება USB ინტერფეისში, როგორც ჩვეულებრივი კლავიატურიდან. როგორც კვლევის ნაწილი, HID ანგარიშის ნაწილი, რომელიც ყველაზე მეტად გვაინტერესებს, არის HID ანგარიშის ნაწილი, რომელიც შეიცავს ბაიტის მოდიფიკატორის დროშებს და 6 ბაიტის მასივს კლავიშის დაჭერის კოდებით (ცნობისთვის, ინფორმაცია HID-ის შესახებ აქ).

HID ანგარიშის სტრუქტურა:

// Keyboard HID report structure.
// See https://flylib.com/books/en/4.168.1.83/1/ (last access 2018 december)
// "Reports and Report Descriptors", "Programming the Microsoft Windows Driver Model"
typedef struct{
    uint8_t Modifiers;
    uint8_t Reserved;
    uint8_t KeyCode[6];
}HidKbdReport_t;

უშუალოდ HID სტრუქტურის ჰოსტზე გადაცემამდე, ინექციური კოდი იღებს კონტროლს, აკოპირებს 8 ბაიტს მშობლიურ HID მონაცემს მეხსიერებაში და აგზავნის მას რადიოს გვერდით არხზე მკაფიო ტექსტით. კოდში ასე გამოიყურება:

//~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~>
// Profiling have shown time execution ~1.88 mSec this block of code
SaveRfState();                  // save transceiver state
RfInitForTransmition(TransmitRfAddress);        // configure for special trnsmition
hal_nrf_write_tx_payload_noack(pDataToSend,sizeof(HidKbdReport_t)); // Write payload to radio TX FIFO
CE_PULSE();                 // Toggle radio CE signal to start transmission
RestoreRfState();               // restore original transceiver state
//~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~<

გვერდითი არხი ორგანიზებულია სიხშირეზე, რომელსაც ჩვენ ვადგენთ მანიპულირების სიჩქარისა და პაკეტის სტრუქტურის გარკვეული მახასიათებლებით.

გადამცემის მუშაობა ჩიპში NRF24 ეფუძნება მდგომარეობის გრაფიკს, რომელშიც ორგანულად არის ინტეგრირებული Enhanced ShockBurst პროტოკოლი. ჩვენ აღმოვაჩინეთ, რომ HID მონაცემების ჰოსტის USB ინტერფეისზე გადაცემამდე, გადამცემი იყო IDLE მდგომარეობაში. ეს შესაძლებელს ხდის მის უსაფრთხოდ კონფიგურაციას გვერდით არხზე მუშაობისთვის. ინექციური კოდი წყვეტს კონტროლს, ინარჩუნებს გადამცემის თავდაპირველ კონფიგურაციას სრულად და გადართავს მას გადაცემის ახალ რეჟიმში გვერდითა არხზე. გაძლიერებული ShockBurst-ის დადასტურების მექანიზმი გამორთულია ამ რეჟიმში; HID მონაცემები გადაიცემა სუფთა სახით ჰაერში. პაკეტის სტრუქტურა გვერდით არხში ნაჩვენებია ქვემოთ მოცემულ ფიგურაში, სიგნალის დიაგრამები მიღებულია დემოდულაციის შემდეგ და მონაცემთა საათის სინქრონიზაციის აღდგენამდე. მისამართის მნიშვნელობა შეირჩა პაკეტის ვიზუალური იდენტიფიკაციის გასაადვილებლად.

დემოდულირებული Burst Burst სიგნალი გვერდით არხში

მას შემდეგ, რაც პაკეტი გადაეცემა გვერდით არხს, ინექციური კოდი აღადგენს გადამცემის მდგომარეობას. ახლა ის კვლავ მზადაა იმუშაოს ნორმალურად ორიგინალური პროგრამული უზრუნველყოფის კონტექსტში.

სიხშირისა და დროის სიხშირის დომენებში, გვერდითი არხი ასე გამოიყურება:

გვერდითი არხის სპექტრული და დრო-სიხშირის წარმოდგენა

NRF24 ჩიპის მუშაობის შესამოწმებლად შეცვლილი პროგრამული უზრუნველყოფით, ჩვენ შევკრიბეთ სტენდი, რომელიც მოიცავდა Logitech dongle შეცვლილი პროგრამული უზრუნველყოფით, უკაბელო კლავიატურა და მიმღები, რომლებიც აწყობილია ჩინური მოდულის საფუძველზე NRF24 ჩიპით.

Logitech უკაბელო კლავიატურა რადიო სიგნალის ჩასმის წრე

NRF24 დაფუძნებული მოდული

სკამზე, როდესაც კლავიატურა ნორმალურად მუშაობდა, Logitech dongle-თან დაკავშირების შემდეგ, ჩვენ დავაკვირდით გვერდითი რადიო არხზე კლავიშების დაჭერის შესახებ მკაფიო მონაცემების გადაცემას და დაშიფრული მონაცემების ნორმალურ გადაცემას მთავარ რადიო ინტერფეისში. ამრიგად, ჩვენ შევძელით მომხმარებლის კლავიატურის შეყვანის პირდაპირი ჩარევა:

კლავიატურის შეყვანის ჩარევის შედეგი

ინექციური კოდი იწვევს მცირე შეფერხებებს dongle firmware-ის მუშაობაში. თუმცა, ისინი ზედმეტად მცირეა იმისთვის, რომ მომხმარებელმა შეამჩნია.

როგორც თქვენ წარმოიდგინეთ, ნებისმიერი Logitech კლავიატურა, რომელიც თავსებადია Unifying ტექნოლოგიასთან, შეიძლება გამოყენებულ იქნას ამ თავდასხმის ვექტორისთვის. ვინაიდან შეტევა მიზნად ისახავს Unifying მიმღებს, რომელიც შედის Logitech კლავიატურების უმეტესობაში, ის დამოუკიდებელია კლავიატურის კონკრეტული მოდელისგან.

დასკვნა

კვლევის შედეგები ვარაუდობენ თავდამსხმელების მიერ განხილული სცენარის შესაძლო გამოყენებას: თუ ჰაკერი მსხვერპლს ჩაანაცვლებს Logitech უკაბელო კლავიატურის დონგლის მიმღებით, მაშინ მას შეეძლება გაარკვიოს მსხვერპლის ანგარიშების პაროლები ყველა შემდგომში. შედეგები. არ დაგავიწყდეთ, რომ ასევე შესაძლებელია კლავიშების დაჭერა, რაც ნიშნავს, რომ მსხვერპლის კომპიუტერზე თვითნებური კოდის შესრულება რთული არ არის.

რა მოხდება, თუ მოულოდნელად თავდამსხმელს შეუძლია დისტანციურად შეცვალოს ნებისმიერი Logitech dongle-ის firmware USB-ის საშუალებით? შემდეგ, მჭიდროდ განლაგებული დონგლებიდან, შეგიძლიათ შექმნათ გამეორებების ქსელი და გაზარდოთ გაჟონვის მანძილი. მიუხედავად იმისა, რომ „ფინანსურად მდიდარ“ თავდამსხმელს შეეძლება „მოუსმინოს“ კლავიატურის შეყვანას და დააჭიროს ღილაკებს მეზობელი შენობიდანაც კი, თანამედროვე რადიომიმღები აღჭურვილობა მაღალი შერჩევითი სისტემებით, მგრძნობიარე რადიო მიმღებები მოკლე სიხშირის რეგულირების დროით და მაღალი მიმართულების ანტენებით მათ საშუალებას მისცემს. კლავიატურაზე შეყვანის „მოსმენა“ და მეზობელი შენობიდან კლავიშების დაჭერა.

პროფესიონალური რადიო აღჭურვილობა

ვინაიდან Logitech კლავიატურის უკაბელო მონაცემთა გადაცემის არხი საკმაოდ კარგად არის დაცული, ნაპოვნი თავდასხმის ვექტორი მოითხოვს ფიზიკურ წვდომას მიმღებზე, რაც მნიშვნელოვნად ზღუდავს თავდამსხმელს. ამ შემთხვევაში დაცვის ერთადერთი ვარიანტი იქნება მიმღების პროგრამული უზრუნველყოფის კრიპტოგრაფიული დაცვის მექანიზმების გამოყენება, მაგალითად, ჩატვირთული პროგრამული უზრუნველყოფის ხელმოწერის შემოწმება მიმღების მხარეს. მაგრამ, სამწუხაროდ, NRF24 არ უჭერს მხარს ამას და შეუძლებელია დაცვის განხორციელება მოწყობილობის მიმდინარე არქიტექტურაში. ასე რომ, იზრუნეთ თქვენს დონგებზე, რადგან აღწერილი თავდასხმის ვარიანტი მოითხოვს მათზე ფიზიკურ წვდომას.

Raccoon Security არის ვულკანის კვლევისა და განვითარების ცენტრის ექსპერტთა სპეციალური გუნდი პრაქტიკული ინფორმაციის უსაფრთხოების, კრიპტოგრაფიის, მიკროსქემის დიზაინის, საპირისპირო ინჟინერიისა და დაბალი დონის პროგრამული უზრუნველყოფის შექმნის სფეროში.

წყარო: www.habr.com