Thunderspy - серија напади на опрема со Thunderbolt интерфејс

Откриено Информации за седум пропусти во опрема со Thunderbolt интерфејс, обединет под кодното име Грмотевици и да ги заобиколат сите главни безбедносни компоненти на Thunderbolt. Врз основа на идентификуваните проблеми, предложени се девет сценарија за напад, имплементирани доколку напаѓачот има локален пристап до системот преку поврзување на малициозен уред или манипулирање со фирмверот.

Сценариите за напад вклучуваат можност за создавање идентификатори на произволни уреди Thunderbolt, клонирање овластени уреди, случаен пристап до системската меморија преку DMA и отфрлање на поставките за ниво на безбедност, вклучувајќи целосно оневозможување на сите заштитни механизми, блокирање на инсталацијата на ажурирања на фирмверот и преводи на интерфејс во режимот Thunderbolt на системи ограничени на препраќање преку USB или DisplayPort.

Thunderbolt е универзален интерфејс за поврзување на периферни уреди што ги комбинира интерфејсите PCIe (PCI Express) и DisplayPort во еден кабел. Thunderbolt беше развиен од Intel и Apple и се користи во многу модерни лаптопи и компјутери. Уредите Thunderbolt базирани на PCIe се обезбедени со DMA I/O, што претставува закана од DMA напади за читање и пишување на целата системска меморија или снимање на податоци од шифрирани уреди. За да се спречат ваквите напади, Thunderbolt го предложи концептот на нивоа на безбедност, кој дозволува употреба само на уреди овластени од корисникот и користи криптографска автентикација на врските за заштита од фалсификување на лични карти.

Идентификуваните пропусти овозможуваат да се заобиколи таквото врзување и да се поврзе злонамерен уред под маската на овластен. Покрај тоа, можно е да се измени фирмверот и да се префрли SPI Flash во режим само за читање, кој може да се користи за целосно оневозможување на безбедносните нивоа и забрана за ажурирање на фирмверот (подготвени се комунални услуги за такви манипулации tcfp и спиблок). Вкупно беа откриени информации за седум проблеми:

• Употреба на несоодветни шеми за проверка на фирмверот;
• Користење на слаба шема за автентикација на уредот;
• Вчитување метаподатоци од неавтентициран уред;
• Достапност на механизми за компатибилност наназад кои овозможуваат употреба на напади за враќање назад ранливи технологии;
• Користење на неавтентицирани параметри за конфигурација на контролорот;
• Грешки во интерфејсот за SPI Flash;
• Недостаток на заштитна опрема на ниво Говорница Камп.

Ранливоста влијае на сите уреди опремени со Thunderbolt 1 и 2 (базиран Mini DisplayPort) и Thunderbolt 3 (базиран USB-C). Сè уште не е јасно дали се појавуваат проблеми кај уредите со USB 4 и Thunderbolt 4, бидејќи овие технологии штотуку се објавени и сè уште нема начин да се тестира нивната имплементација. Ранливостите не можат да се отстранат со софтвер и бараат редизајн на хардверските компоненти. Сепак, за некои нови уреди е можно да се блокираат некои од проблемите поврзани со DMA користејќи го механизмот DMA заштита на јадрото, поддршката за која започна да се спроведува почнувајќи од 2019 година (поддржано од во кернелот Линукс, почнувајќи од изданието 5.0, можете да го проверите вклучувањето преку „/sys/bus/thunderbolt/devices/domainX/iommu_dma_protection“).

Обезбедена е Python скрипта за проверка на вашите уреди Spycheck, што бара да работи како root за пристап до DMI, ACPI DMAR табелата и WMI. За да ги заштитите ранливите системи, препорачуваме да не го оставате системот без надзор вклучен или во режим на подготвеност, да не поврзувате туѓи Thunderbolt уреди, да не ги оставате или да ги давате вашите уреди на други и да се осигурате дека вашите уреди се физички обезбедени. Ако Thunderbolt не е потребен, се препорачува да се оневозможи Thunderbolt контролерот во UEFI или BIOS-от (ова може да предизвика портите USB и DisplayPort да не работат ако се имплементирани преку Thunderbolt контролер).

Извор: opennet.ru