Водите рачуна о својим кључевима: безбедносна студија Логитецх пријемника тастатуре

Историјски гледано, већина запослених користи бежичне тастатуре и мишеве компаније Логитецх. Поново уносећи своје лозинке, ми, стручњаци Раццоон Сецурити тима, запитали смо се: колико је тешко заобићи сигурносне механизме бежичних тастатура? Студија је открила архитектонске недостатке и софтверске грешке које омогућавају приступ улазним подацима. Испод реза је оно што смо добили.

Зашто Логитецх?

По нашем мишљењу, Логитецх улазни уређаји су међу најквалитетнијим и најпогоднијим. Већина уређаја које имамо заснована је на Логитецх решењу обједињавање је универзални донгле пријемник који вам омогућава да повежете до 6 уређаја. Сви уређаји компатибилни са Логитецх Унифиинг технологијом су означени логотипом Логитецх Унифиинг технологије. Једноставан за коришћење апликација Омогућава вам да управљате везом бежичних тастатура са рачунаром. Процес повезивања тастатуре са Логитецх донгле пријемника, као и сама технологија, је покривен, нпр. овде.

Донгле пријемник са подршком за Логитецх Унифиинг

Тастатура може постати извор информација за нападаче. Логитецх се, узимајући у обзир могућу претњу, побринуо за безбедност – користио је алгоритам шифровања АЕС128 у радио каналу бежичне тастатуре. Прва помисао коју би нападач могао имати у овој ситуацији је да пресретне кључне информације када се преносе преко радио канала током процедуре везивања. На крају крајева, ако имате кључ, можете пресрести радио сигнале са тастатуре и дешифровати их. Међутим, корисник ретко (или чак никада) мора да обједини тастатуру, а хакер са радиом за скенирање мораће дуго да чека. Осим тога, није све тако једноставно са самим процесом пресретања. У најновијој студији у јуну 2019, стручњак за безбедност Маркус Менгс објавио је онлајн сообщение о открићу рањивости у старом фирмверу Логитецх УСБ кључева. Омогућава нападачима са физичким приступом уређајима да добију кључеве за шифровање радио канала и уведу притисак на тастере (ЦВЕ-2019-13054).

Говорићемо о нашој безбедносној студији Логитецх кључа заснованог на НРФ24 СоЦ-у из Нордиц Семицондуцтор-а. Почнимо, можда, од самог радио канала.

Како подаци „лете“ на радио каналу

За временско-фреквенцијску анализу радио сигнала користили смо СДР пријемник на бази Бладе-РФ уређаја у режиму анализатора спектра (о овоме можете прочитати и овде).

СДР Бладе-РФ уређај

Размотрили смо и могућност снимања квадратура радио сигнала на међуфреквенцији, који би се потом могли анализирати техникама дигиталне обраде сигнала.

Државна комисија за радио-фреквенције у Руској Федерацији отпуштен за употребу на уређајима кратког домета, опсег фреквенција је 2400–2483,5 МХз. Ово је веома „насељен” опсег, у коме нећете наћи ништа: Ви-Фи, Блуетоотх, све врсте даљинских управљача, безбедносне системе, бежичне детекторе, мишеве са тастатурама и друге бежичне дигиталне уређаје.

Спектар опсега 2,4 ГХз

Окружење сметњи у опсегу је прилично сложено. Упркос томе, Логитецх је успео да обезбеди поуздан и стабилан пријем коришћењем Енханцед СхоцкБурст протокола у НРФ24 примопредајнику у комбинацији са алгоритмима за прилагођавање фреквенције.

Канали у опсегу се постављају на целобројне позиције МХз као што је дефинисано у спецификације НРФ24 Нордиц Семицондуцтор - укупно 84 канала у фреквенцијској мрежи. Број истовремено коришћених фреквентних канала компаније Логитецх је, наравно, мањи. Идентификовали смо употребу најмање четири. Због ограниченог опсега коришћеног анализатора спектра сигнала, тачна листа коришћених фреквенцијских позиција није могла да се утврди, али то није било неопходно. Информације са тастатуре до кључа пријемника се преносе у Бурст режиму (кратка окретања на предајнику) коришћењем двопозицијске фреквенцијске модулације ГФСК при брзини симбола од 1 Мбауд:

Радио сигнал тастатуре у временској представи

Пријемник користи корелациони принцип пријема, тако да пакет који се преноси садржи преамбулу и део адресе. Кодирање отпорно на буку се не користи; тело података је шифровано АЕС128 алгоритмом.

Генерално, радио интерфејс Логитецх бежичне тастатуре може се окарактерисати као потпуно асинхрони са статистичким мултиплексирањем и прилагођавањем фреквенције. То значи да предајник са тастатуре пребацује канал за пренос сваког новог пакета. Пријемник не зна унапред ни време преноса ни фреквенцијски канал, већ је позната само њихова листа. Пријемник и предајник сусрећу се у каналу захваљујући координисаном заобилажењу фреквенције и алгоритмима слушања, као и побољшаним механизмима потврде СхоцкБурст. Нисмо истражили да ли је листа канала статична. Вероватно је његова промена последица алгоритма прилагођавања фреквенције. Нешто блиско методи скакања фреквенције (псеудо-случајно подешавање радне фреквенције) може се видети у коришћењу фреквенцијског ресурса опсега.

Дакле, у условима временско-фреквентне несигурности, да би осигурао загарантован пријем свих сигнала са тастатуре, нападач ће морати стално да прати целу фреквентну мрежу од 84 позиције, што захтева значајно време. Овде постаје јасно зашто је рањивост екстракције УСБ кључа (ЦВЕ-2019-13054) у изворима позиционирано као могућност убризгавања притисака на тастере, уместо добијања нападачевог приступа подацима унетим са тастатуре. Очигледно, радио интерфејс бежичне тастатуре је прилично сложен и обезбеђује поуздану радио комуникацију између Логитецх уређаја у тешким условима сметњи у опсегу 2,4 ГХз.

Поглед на проблем изнутра

За нашу студију одабрали смо једну од наших постојећих тастатура Логитецх К330 и Логитецх Унифиинг кључ.

Логитецх ККСНУМКС

Хајде да завиримо у унутрашњост тастатуре. Занимљив елемент на плочи за проучавање је СоЦ НРФ24 чип из Нордиц Семицондуцтор-а.

СоЦ НРФ24 на Логитецх К330 бежичној тастатури

Фирмвер се налази у интерној меморији, механизми читања и отклањања грешака су онемогућени. Нажалост, фирмвер није објављен у отвореним изворима. Стога смо одлучили да проблему приступимо са друге стране - да проучимо унутрашњи садржај Логитецх донгле пријемника.

„Унутрашњи свет“ пријемника кључа је прилично занимљив. Донгле се лако раставља, носи познато издање НРФ24 са уграђеним УСБ контролером и може се репрограмирати како са УСБ стране тако и директно из програматора.

Логитецх донгле без кућишта

Пошто постоји стандардни механизам за ажурирање фирмвера помоћу Апликације алата за ажурирање фирмвера (из којег можете издвојити ажурирану верзију фирмвера), нема потребе да тражите фирмвер унутар кључа.

Шта је урађено: фирмвер РКР_012_005_00028.бин је извађен из тела апликације Фирмваре Упдате Тоол. Да би се проверио његов интегритет, контролер кључа је повезан каблом програматору ЦхипПрог-48:

Кабл за повезивање Логитецх кључа са ЦхипПрог 48 програматором

Да би се контролисао интегритет фирмвера, он је успешно смештен у меморију контролера и исправно је радио, тастатура и миш су повезани са кључем преко Логитецх Унифиинг-а. Могуће је отпремити модификовани фирмвер коришћењем стандардног механизма ажурирања, пошто не постоје механизми криптографске заштите за фирмвер. За потребе истраживања користили смо физичку везу са програматором, пошто је отклањање грешака на овај начин много брже.

Истраживање фирмвера и напад на кориснички унос

НРФ24 чип је дизајниран на основу Интел 8051 рачунарског језгра у традиционалној архитектури Харварда. За језгро, примопредајник делује као периферни уређај и смештен је у адресни простор као скуп регистара. Документација за примере чипа и изворног кода може се наћи на Интернету, тако да растављање фирмвера није тешко. Током реверзног инжењеринга, локализовали смо функције за пријем података о притискању тастера са радио канала и њихово претварање у ХИД формат за пренос до хоста преко УСБ интерфејса. Ињекциони код је смештен у слободне меморијске адресе, које су укључивале алате за пресретање контроле, чување и враћање оригиналног контекста извршавања, као и функционални код.

Пакет притискања или отпуштања кључа који је донгле примио са радио канала се дешифрује, претвара у стандардни ХИД извештај и шаље на УСБ интерфејс као са обичне тастатуре. Као део студије, део ХИД извештаја који нас највише занима је део ХИД извештаја који садржи бајт модификационих заставица и низ од 6 бајтова са кодовима за притисак на тастере (за референцу, информације о ХИД-у овде).

Структура ХИД извештаја:

// Keyboard HID report structure.
// See https://flylib.com/books/en/4.168.1.83/1/ (last access 2018 december)
// "Reports and Report Descriptors", "Programming the Microsoft Windows Driver Model"
typedef struct{
    uint8_t Modifiers;
    uint8_t Reserved;
    uint8_t KeyCode[6];
}HidKbdReport_t;

Непосредно пре преноса ХИД структуре домаћину, убачени код преузима контролу, копира 8 бајтова изворних ХИД података у меморију и шаље их на радио канал у чистом тексту. У коду то изгледа овако:

//~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~>
// Profiling have shown time execution ~1.88 mSec this block of code
SaveRfState();                  // save transceiver state
RfInitForTransmition(TransmitRfAddress);        // configure for special trnsmition
hal_nrf_write_tx_payload_noack(pDataToSend,sizeof(HidKbdReport_t)); // Write payload to radio TX FIFO
CE_PULSE();                 // Toggle radio CE signal to start transmission
RestoreRfState();               // restore original transceiver state
//~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~<

Бочни канал је организован на фреквенцији коју постављамо са одређеним карактеристикама брзине манипулације и структуре пакета.

Рад примопредајника у чипу НРФКСНУМКС је заснован на графу стања у који је Енханцед СхоцкБурст протокол органски интегрисан. Открили смо да је непосредно пре слања ХИД података на хост УСБ интерфејс, примопредајник био у стању ИДЛЕ. Ово омогућава да се безбедно поново конфигурише да ради у бочном каналу. Убачени код пресреће контролу, чува оригиналну конфигурацију примопредајника у потпуности и пребацује је на нови режим преноса на бочном каналу. Механизам Енханцед СхоцкБурст потврде је онемогућен у овом режиму; ХИД подаци се преносе у јасном облику преко ваздуха. Структура пакета у бочном каналу је приказана на доњој слици, дијаграми сигнала су добијени након демодулације и пре обнављања синхронизације сата података. Вредност адресе је изабрана ради лакше визуелне идентификације пакета.

Демодулиран бурст сигнал у бочном каналу

Након што се пакет пренесе на бочни канал, убризгани код враћа стање примопредајника. Сада је поново спреман за нормалан рад у контексту оригиналног фирмвера.

У фреквенцијском и временско-фреквентном домену, бочни канал изгледа овако:

Спектрално и временско-фреквентно представљање бочног канала

Да бисмо тестирали рад НРФ24 чипа са модификованим фирмвером, саставили смо постоље које је укључивало Логитецх донгле са модификованим фирмвером, бежичну тастатуру и пријемник састављен на бази кинеског модула са НРФ24 чипом.

Логитецх коло за пресретање радио сигнала бежичне тастатуре

Модул заснован на НРФ24

На клупи, са тастатуром која ради нормално, након повезивања на Логитецх донгле, посматрали смо пренос јасних података о притискању тастера на бочном радио каналу и нормалан пренос шифрованих података у главном радио интерфејсу. Тако смо били у могућности да обезбедимо директно пресретање уноса са тастатуре корисника:

Резултат пресретања уноса са тастатуре

Убачени код уводи мала кашњења у раду фирмвера кључа. Међутим, они су премали да би их корисник приметио.

Као што можете замислити, било која Логитецх тастатура која је компатибилна са Унифиинг технологијом може се користити за овај вектор напада. Пошто напад циља на Унифиинг пријемник укључен у већину Логитецх тастатура, он је независан од специфичног модела тастатуре.

Закључак

Резултати студије указују на могућу употребу разматраног сценарија од стране нападача: ако хакер замени жртву пријемником кључа за Логитецх бежичну тастатуру, тада ће моћи да сазна лозинке за налоге жртве са свим пратећим последице. Не заборавите да је могуће и убризгавање тастера, што значи да није тешко извршити произвољни код на рачунару жртве.

Шта ако одједном нападач може даљински да модификује фирмвер било ког Логитецх кључа преко УСБ-а? Затим, од блиско распоређених кључева, можете креирати мрежу репетитора и повећати удаљеност цурења. Иако ће „финансијски богати“ нападач моћи да „слуша“ унос са тастатуре и притиска тастере чак и из суседне зграде, савремена опрема за радио пријем са високо селективним системима, осетљиви радио пријемници са кратким временом подешавања фреквенције и високо усмерене антене ће им омогућити да „слушате“ унос са тастатуре и притискате тастере чак и из суседне зграде.

Професионална радио опрема

Пошто је канал за бежични пренос података Логитецх тастатуре прилично добро заштићен, пронађени вектор напада захтева физички приступ пријемнику, што у великој мери ограничава нападача. Једина опција заштите у овом случају била би употреба криптографских заштитних механизама за фирмвер пријемника, на пример, провера потписа учитаног фирмвера на страни пријемника. Али, нажалост, НРФ24 то не подржава и немогуће је имплементирати заштиту у оквиру тренутне архитектуре уређаја. Зато водите рачуна о својим кључевима, јер описана опција напада захтева физички приступ њима.

Раццоон Сецурити је посебан тим стручњака из Центра за истраживање и развој Вулкан у области практичне информационе безбедности, криптографије, дизајна кола, обрнутог инжењеринга и креирања софтвера ниског нивоа.

Извор: ввв.хабр.цом