Thunderspy - Thunderbolt 인터페이스를 갖춘 장비에 대한 일련의 공격

노출된 에 관한 정보 일곱 가지 취약점 Thunderbolt 인터페이스를 갖춘 장비에서 코드명으로 통합됨 썬더 스파이 모든 주요 Thunderbolt 보안 구성 요소를 우회합니다. 확인된 문제를 기반으로 공격자가 악성 장치를 연결하거나 펌웨어를 조작하여 시스템에 로컬로 액세스할 수 있는 경우 구현되는 XNUMX가지 공격 시나리오가 제안됩니다.

공격 시나리오에는 임의의 Thunderbolt 장치의 식별자 생성, 인증된 장치 복제, DMA를 통한 시스템 메모리에 대한 무작위 액세스, 모든 보호 메커니즘의 완전 비활성화, 펌웨어 업데이트 설치 차단, Thunderbolt 모드로의 인터페이스 변환 차단 등 보안 수준 설정 무시 기능이 포함됩니다. 시스템은 USB 또는 DisplayPort 전달로 제한됩니다.

Thunderbolt는 PCIe(PCI Express)와 DisplayPort 인터페이스를 하나의 케이블에 결합한 주변 장치를 연결하기 위한 범용 인터페이스입니다. Thunderbolt는 Intel과 Apple이 개발했으며 많은 최신 노트북과 PC에 사용됩니다. PCIe 기반 Thunderbolt 장치에는 DMA I/O가 제공되는데, 이는 전체 시스템 메모리를 읽고 쓰거나 암호화된 장치에서 데이터를 캡처하는 DMA 공격의 위협이 됩니다. 이러한 공격을 방지하기 위해 Thunderbolt는 사용자가 인증한 장치만 사용할 수 있도록 허용하고 연결의 암호화 인증을 사용하여 ID 위조를 방지하는 보안 수준 개념을 제안했습니다.

확인된 취약점으로 인해 이러한 바인딩을 우회하고 승인된 장치로 가장하여 악성 장치를 연결할 수 있습니다. 또한 펌웨어를 수정하고 SPI 플래시를 읽기 전용 모드로 전환할 수 있습니다. 이는 보안 수준을 완전히 비활성화하고 펌웨어 업데이트를 금지하는 데 사용할 수 있습니다(유틸리티는 이러한 조작을 위해 준비되었습니다). tcfp и 스파이블록). 총 XNUMX가지 문제에 대한 정보가 공개되었습니다.

• 부적절한 펌웨어 검증 체계 사용
• 약한 장치 인증 방식을 사용합니다.
• 인증되지 않은 장치에서 메타데이터 로드
• 롤백 공격을 허용하는 이전 버전과의 호환성 메커니즘의 가용성 취약한 기술;
• 인증되지 않은 컨트롤러 구성 매개변수 사용
• SPI 플래시 인터페이스의 결함;
• 수준의 보호 장비 부족 부트 캠프.

이 취약성은 Thunderbolt 1 및 2(Mini DisplayPort 기반) 및 Thunderbolt 3(USB-C 기반)이 장착된 모든 장치에 영향을 미칩니다. USB 4 및 Thunderbolt 4가 탑재된 장치에 문제가 나타나는지 여부는 아직 확실하지 않습니다. 이러한 기술은 이제 막 발표되었고 구현을 테스트할 방법이 없기 때문입니다. 취약점은 소프트웨어로 제거할 수 없으며 하드웨어 구성 요소를 다시 설계해야 합니다. 그러나 일부 새로운 장치의 경우 메커니즘을 사용하여 DMA와 관련된 일부 문제를 차단할 수 있습니다. 커널 DMA 보호, 2019년부터 지원이 시작되었습니다 (에 의해 지원 Linux 커널에서는 릴리스 5.0부터 "/sys/bus/thunderbolt/devices/domainX/iommu_dma_protection"을 통해 포함을 확인할 수 있습니다.

장치를 확인하기 위해 Python 스크립트가 제공됩니다. 스파이 체크, DMI, ACPI DMAR 테이블 및 WMI에 액세스하려면 루트로 실행해야 합니다. 취약한 시스템을 보호하려면 시스템을 켜거나 대기 모드로 방치하지 말고, 다른 사람의 Thunderbolt 장치를 연결하지 말고, 장치를 다른 사람에게 맡기거나 양도하지 말고, 장치가 물리적으로 안전한지 확인하는 것이 좋습니다. Thunderbolt가 필요하지 않은 경우 UEFI 또는 BIOS에서 Thunderbolt 컨트롤러를 비활성화하는 것이 좋습니다. 이렇게 하면 USB 및 DisplayPort 포트가 Thunderbolt 컨트롤러를 통해 구현된 경우 작동하지 않을 수 있습니다.

출처 : opennet.ru