тухай мэдээлэл кодын нэрээр нэгдсэн Thunderbolt интерфейс бүхий төхөөрөмжид мөн бүх гол Thunderbolt аюулгүй байдлын бүрэлдэхүүн хэсгүүдийг алгасах. Тодорхойлсон асуудлууд дээр үндэслэн халдагчид хортой төхөөрөмжийг холбох эсвэл програм хангамжийг удирдах замаар системд дотоод хандалт хийх боломжтой бол хэрэгжүүлэх есөн халдлагын хувилбарыг санал болгож байна.
Довтолгооны хувилбаруудад дурын Thunderbolt төхөөрөмжүүдийн таниулбар үүсгэх, зөвшөөрөгдсөн төхөөрөмжүүдийг хуулбарлах, DMA-ээр дамжуулан системийн санах ойд санамсаргүй хандах, хамгаалалтын бүх механизмыг бүрэн идэвхгүй болгох, програм хангамжийн шинэчлэлтүүдийг суулгах, Thunderbolt горимд интерфэйс орчуулахыг хориглох зэрэг орно. USB эсвэл DisplayPort дамжуулалтаар хязгаарлагдсан системүүд.
Thunderbolt нь PCIe (PCI Express) болон DisplayPort интерфейсийг нэг кабельд нэгтгэсэн захын төхөөрөмжүүдийг холбох бүх нийтийн интерфейс юм. Thunderbolt-ийг Intel болон Apple компани бүтээсэн бөгөөд орчин үеийн олон зөөврийн компьютер, компьютерт ашигладаг. PCIe-д суурилсан Thunderbolt төхөөрөмжүүд нь DMA I/O-ээр хангагдсан бөгөөд энэ нь системийн санах ойг бүхэлд нь унших, бичих эсвэл шифрлэгдсэн төхөөрөмжүүдээс өгөгдөл авах DMA халдлагын аюулыг бий болгодог. Ийм халдлагаас урьдчилан сэргийлэхийн тулд Thunderbolt нь зөвхөн хэрэглэгчийн зөвшөөрөлтэй төхөөрөмжүүдийг ашиглахыг зөвшөөрдөг, ID-г хуурамчаар үйлдэхээс хамгаалахын тулд холболтын криптограф баталгаажуулалтыг ашигладаг Аюулгүй байдлын түвшний үзэл баримтлалыг санал болгосон.
Тодорхойлсон эмзэг байдал нь ийм холболтыг тойрч гарах, эрх бүхий этгээдийн нэрийн дор хортой төхөөрөмжийг холбох боломжийг олгодог. Нэмж дурдахад, програм хангамжийг өөрчилж, SPI Flash-ийг зөвхөн унших горимд шилжүүлэх боломжтой бөгөөд энэ нь аюулгүй байдлын түвшинг бүрэн идэвхгүй болгож, програм хангамжийн шинэчлэлтийг хориглох боломжтой (ийм арга хэрэгсэлд зориулж хэрэгслүүдийг бэлтгэсэн) и ). Нийтдээ долоон асуудлын талаарх мэдээллийг тодрууллаа.
- Програм хангамжийг шалгах хангалтгүй схемийг ашиглах;
- Төхөөрөмжийн баталгаажуулалтын бүдүүвчийг ашиглах;
- Баталгаажаагүй төхөөрөмжөөс мета өгөгдлийг ачаалж байна;
- Буцах довтолгоонуудыг ашиглах боломжийг олгодог хоцрогдсон нийцтэй механизмууд байгаа эсэх ;
- Баталгаажаагүй хянагчийн тохиргооны параметрүүдийг ашиглах;
- SPI Flash-ийн интерфейсийн доголдол;
- Түвшинд хамгаалах хэрэгсэл дутмаг .
Энэ эмзэг байдал нь Thunderbolt 1 ба 2 (Mini DisplayPort дээр суурилсан) болон Thunderbolt 3 (USB-C дээр суурилсан) тоноглогдсон бүх төхөөрөмжид хамаарна. USB 4 ба Thunderbolt 4-тэй төхөөрөмжүүдэд асуудал гарч байгаа эсэх нь одоогоор тодорхойгүй байна, учир нь эдгээр технологиудыг дөнгөж зарласан бөгөөд тэдгээрийн хэрэгжилтийг шалгах арга хараахан гараагүй байна. Эмзэг байдлыг програм хангамжийн тусламжтайгаар арилгах боломжгүй бөгөөд техник хангамжийн бүрэлдэхүүн хэсгүүдийг дахин төлөвлөх шаардлагатай. Гэсэн хэдий ч зарим шинэ төхөөрөмжүүдийн хувьд механизмыг ашиглан DMA-тай холбоотой зарим асуудлыг хаах боломжтой , дэмжлэгийг 2019 оноос хэрэгжүүлж эхэлсэн ( Линуксийн цөмд 5.0 хувилбараас эхлэн та "/sys/bus/thunderbolt/devices/domainX/iommu_dma_protection"-ээр дамжуулан оруулсан эсэхийг шалгаж болно).
Таны төхөөрөмжүүдийг шалгахын тулд Python скриптийг өгсөн , энэ нь DMI, ACPI DMAR хүснэгт болон WMI-д хандахын тулд root хэлбэрээр ажиллах шаардлагатай. Эмзэг системүүдийг хамгаалахын тулд системээ хараа хяналтгүй асаалттай эсвэл зогсолтын горимд үлдээхгүй байх, хэн нэгний Thunderbolt төхөөрөмжийг холбохгүй байх, төхөөрөмжөө орхиж, бусдад өгөхгүй байхыг зөвлөж байна. Хэрэв Thunderbolt шаардлагагүй бол UEFI эсвэл BIOS-д Thunderbolt хянагчийг идэвхгүй болгохыг зөвлөж байна (энэ нь Thunderbolt хянагчаар хэрэгжсэн бол USB болон DisplayPort портууд ажиллахгүй болно).
Эх сурвалж: opennet.ru