Hlokomela li-dongle tsa hau: Boithuto ba polokeho ea moamoheli oa keyboard ea Logitech

Так исторически сложилось, что большинство сотрудников пользуются беспроводными клавиатурами и мышами фирмы Logitech. В очередной раз вводя свои пароли, мы – специалисты команды Raccoon Security – задались вопросом: насколько сложно обойти механизмы защиты беспроводных клавиатур? Проведенное исследование выявило архитектурные недостатки и программные ошибки, которые позволяют получить доступ к вводимым данным. Под катом – что у нас получилось.

Ke hobane'ng ha Logitech?

На наш взгляд, устройства ввода компании Logitech являются одними из самых качественных и удобных. Большинство имеющихся у нас устройств основаны на решении Logitech momahanyang ke seamoheli sa dongle sa bokahohleng se u lumellang hore u hokahane le lisebelisoa tse 6. Lisebelisoa tsohle tse tsamaellanang le theknoloji ea Logitech Unifying li tšoailoe ka logo ea theknoloji ea Logitech Unifying. Ho bonolo ho e sebelisa kopo E o lumella ho laola khokahano ea li-keyboards tse se nang mohala khomphuteng ea hau. Ts'ebetso ea ho hokahanya keyboard le dongle ea moamoheli oa Logitech, hammoho le theknoloji ka boeona, e koahetsoe, mohlala, mona.

Moamoheli oa Dongle ka tšehetso ea Logitech Unifying

Khiboto e ka fetoha mohloli oa litaba bakeng sa bahlaseli. Logitech, ho nahanoa ka ts'okelo e ka bang teng, e ile ea hlokomela ts'ireletso - e sebelisitse algorithm ea encryption ea AES128 seteisheneng sa seea-le-moea sa keyboard e se nang mohala. Mohopolo oa pele oo mohlaseli a ka bang le ona boemong bona ke ho thibela tlhahisoleseding ea bohlokoa ha e fetisoa ka mocha oa seea-le-moea nakong ea ts'ebetso e tlamang. Ha e le hantle, haeba u na le senotlolo, u ka khona ho thibela melaetsa ea seea-le-moea ea keyboard le ho e hlakola. Leha ho le joalo, ka seoelo mosebelisi (kapa le ka mohla) o tlameha ho kopanya keyboard, mme senokoane se nang le seea-le-moea sa scanning se tla tlameha ho ema nako e telele. Ho phaella moo, ha se ntho e 'ngoe le e' ngoe e bonolo haholo ka mokhoa oa ho khaola ka boeona. Thutong ea morao-rao ka Phuptjane 2019, setsebi sa ts'ireletso Markus Mengs se phatlalalitse marang-rang molaetsa об обнаружении уязвимости в старых прошивках USB-донглов Logitech. Она позволяет злоумышленникам с физическим доступом к устройствам получать ключи шифрования радиоканала и инжектировать нажатия клавиш (CVE-2019-13054).

Re tla bua ka thuto ea rona ea ts'ireletso ea Logitech dongle e thehiloeng ho NRF24 SoC ho tloha Nordic Semiconductor. Ha re qaleng, mohlomong, ka kanale ea seea-le-moea ka boeona.

Как «летят» данные в радиоканале

Bakeng sa tlhahlobo ea maqhubu a nako ea lets'oao la seea-le-moea, re sebelisitse seamoheli sa SDR se ipapisitseng le sesebelisoa sa Blade-RF ka mokhoa oa spectrum analyzer (o ka bala ka sena. mona).

Sesebelisoa sa SDR Blade-RF

Re boetse re nahanne ka monyetla oa ho rekota li-quadrature tsa lets'oao la seea-le-moea ka maqhubu a mahareng, a ka hlahlojoang ho sebelisoa mekhoa ea ts'ebetso ea mats'oao a dijithale.

Komisi ea Naha ea Maqhubu a seea-le-moea Russia lumelloa к использованию устройствами малого радиуса действия диапазон частот 2400–2483,5 МГц. Это очень «населенный» диапазон, в котором чего только не встретишь: Wi-Fi, Bluetooth, всевозможные пульты ДУ, охранные системы, беспроводные извещатели, мыши с клавиатурами и другие беспроводные цифровые устройства.

Spectrum ea sehlopha sa 2,4 GHz

Tikoloho ea tšitiso ka har'a marang-rang e rarahane haholo. Ho sa tsotellehe sena, Logitech o ile a khona ho fana ka kamohelo e tšepahalang le e tsitsitseng ka tšebeliso ea Protocol ea Enhanced ShockBurst ho transceiver ea NRF24 hammoho le li-algorithms tsa ho ikamahanya le maemo.

Liteishene ka har'a sehlopha li behiloe maemong a felletseng a MHz joalo ka ha ho hlalositsoe ho tobileng NRF24 Nordic Semiconductor – всего 84 канала в сетке частот. Число одновременно используемых Logitech частотных каналов, конечно, меньше. Мы выявили использование как минимум четырех. Из-за ограниченной полосы обзора применяемого анализатора спектра сигналов точный список используемых частотных позиций определить не удалось, но в этом и не было необходимости. Информация от клавиатуры к донглу-приемнику передается в режиме Burst (короткими включениями трансмиттера) с использованием двухпозиционной частотной модуляции GFSK на символьной скорости 1 Мбод:

Letšoao la seea-le-moea sa keyboard nakong ea tlhahiso ea nako

Moamoheli o sebelisa molao-motheo oa khokahano oa kamohelo, kahoo pakete e fetisitsoeng e na le selelekela le karolo ea aterese. Khoutu e thibelang lerata ha e sebelisoe; 'mele oa data o patiloe ka algorithm ea AES128.

Ka kakaretso, sehokelo sa seea-le-moea sa keyboard ea Logitech e se nang mohala e ka hlalosoa e le e sa lumellaneng ka botlalo ka lipalo-palo tsa lipalo le ho ikamahanya le maemo. Sena se bolela hore mochini o fetisang li-keyboard o chencha mocha hore o fetise pakete e 'ngoe le e 'ngoe e ncha. Motho ea amohelang ha a tsebe esale pele nako ea phetisetso kapa mocha oa maqhubu, empa ke lenane la bona feela le tsejoang. Moamoheli le transmitter li kopana seteisheneng ka lebaka la mokhoa o hokahaneng oa ho feta le ho mamela li-algorithms, hammoho le mekhoa e ntlafalitsoeng ea ho amohela ShockBurst. Ha rea ​​etsa lipatlisiso hore na lenane la likanale le eme. Mohlomong, phetoho ea eona e bakoa ke algorithm ea ho ikamahanya le maqhubu. Ntho e haufi le mokhoa oa ho tsubella khafetsa (peudo-random tuning ea maqhubu a ts'ebetso) e ka bonoa ts'ebelisong ea lisebelisoa tsa maqhubu a marang-rang.

Kahoo, tlas'a maemo a ho se tsitse ha nako, ho netefatsa kamohelo e tiisitsoeng ea matšoao ohle a keyboard, mohlaseli o tla hloka ho lula a lekola marang-rang kaofela a maemo a 84, a hlokang nako e ngata. Mona hoa hlaka hore na hobaneng ts'oaetso ea senotlolo sa USB (CVE-2019-13054) mehloling e behiloe joalo ka bokhoni ba ho kenya likonopo, ho ena le ho fumana phihlello ea mohlaseli ho data e kentsoeng ho keyboard. Ho hlakile hore sebopeho sa seea-le-moea sa keyboard e se nang mohala se rarahane haholo 'me se fana ka puisano e tšepahalang ea seea-le-moea pakeng tsa lisebelisoa tsa Logitech maemong a thata a tšitiso ho sehlopha sa 2,4 GHz.

Взгляд на проблему изнутри

Bakeng sa thuto ea rona, re khethile e 'ngoe ea likonopo tsa rona tse teng tsa Logitech K330 le dongle ea Logitech Unifying.

Logitech K330

Ha re shebeng ka har'a keyboard. Ntho e khahlisang ho boto eo u ka ithutang eona ke chip ea SoC NRF24 e tsoang ho Nordic Semiconductor.

SoC NRF24 на плате беспроводной клавиатуры Logitech K330

Firmware e teng mohopolong oa ka hare, mekhoa ea ho bala le ho lokisa liphoso e holofetse. Ka bomalimabe, firmware ha e so phatlalatsoe mehloling e bulehileng. Ka hona, re ile ra etsa qeto ea ho atamela bothata ka lehlakoreng le leng - ho ithuta litaba tse ka hare ho Logitech dongle receiver.

"Lefatše la ka hare" la moamoheli oa li-dongle le khahla haholo. Dongle e aroloa habonolo, e na le tokollo e tloaelehileng ea NRF24 e nang le taolo ea USB e hahelletsoeng 'me e ka hlophisoa bocha ka lehlakoreng la USB le ka kotloloho ho tsoa ho moetsi oa lenaneo.

Logitech dongle ntle le bolulo

Kaha ho na le mokhoa o tloaelehileng oa ho ntlafatsa firmware ka ho sebelisa Lisebelisoa tsa lisebelisoa tsa ntlafatso ea firmware (ho tloha moo u ka ntšang phetolelo e ntlafalitsoeng ea firmware), ha ho hlokahale ho batla firmware ka hare ho dongle.

Ho entsoe eng: firmware RQR_012_005_00028.bin e ntšitsoe 'meleng oa sesebelisoa sa Firmware Update Tool. Ho hlahloba botšepehi ba eona, molaoli oa dongle o ne a hokahane ka thapo ho moetsi oa lenaneo la ChipProg-48:

Шлейф подключения донгла Logitech к программатору ChipProg 48

Для контроля целостности прошивки она была успешно размещена в памяти контроллера и заработала корректно, клавиатура и мышь были подключены к донглу через Logitech Unifying. Возможна заливка модифицированной прошивки с помощью штатного механизма обновления, т. к. каких-либо механизмов криптографической защиты прошивки не предусмотрено. Мы же в целях исследования использовали физическое подключение к программатору, поскольку так проводить отладку гораздо быстрее.

Patlisiso ea Firmware le tlhaselo ea tlhahiso ea basebelisi

Чип NRF24 спроектирован на основе вычислительного ядра Intel 8051 в традиционной гарвардской архитектуре. Для ядра трансивер выступает в качестве периферийного устройства и размещен в адресном пространстве как набор регистров. Документацию на чип и примеры исходных текстов можно найти в Интернете, поэтому дизассемблирование прошивки не представляет трудности. В ходе реверс-инжиниринга мы локализовали функции получения данных о нажатиях клавиш из радиоканала и преобразования их в формат HID для передачи на хост по USB-интерфейсу. В свободных адресах памяти был размещен код инъекции, в который вошли инструменты перехвата управления, сохранения и восстановления оригинального контекста исполнения, а также функциональный код.

Принятый донглом из радиоканала пакет нажатия или отпускания клавиши дешифруется, преобразуется в стандартный HID-репорт и направляется в USB-интерфейс как от обычной клавиатуры. В рамках исследования для нас наибольший интерес представляет часть HID-репорта, содержащая байт флагов-модификаторов и массив из 6 байт с кодами нажатий клавиш (для справки информация о HID mona).

Sebopeho sa tlaleho ea HID:

// Keyboard HID report structure.
// See https://flylib.com/books/en/4.168.1.83/1/ (last access 2018 december)
// "Reports and Report Descriptors", "Programming the Microsoft Windows Driver Model"
typedef struct{
    uint8_t Modifiers;
    uint8_t Reserved;
    uint8_t KeyCode[6];
}HidKbdReport_t;

Hang-hang pele o fetisetsa sebopeho sa HID ho moamoheli, khoutu e kentsoeng e nka taolo, e kopitsa li-byte tse 8 tsa data ea matsoalloa a HID mohopolong ebe e e romella mocha o lehlakoreng la seea-le-moea ka mongolo o hlakileng. Ka khoutu e shebahala tjena:

//~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~>
// Profiling have shown time execution ~1.88 mSec this block of code
SaveRfState();                  // save transceiver state
RfInitForTransmition(TransmitRfAddress);        // configure for special trnsmition
hal_nrf_write_tx_payload_noack(pDataToSend,sizeof(HidKbdReport_t)); // Write payload to radio TX FIFO
CE_PULSE();                 // Toggle radio CE signal to start transmission
RestoreRfState();               // restore original transceiver state
//~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~<

Channel e lehlakoreng e hlophisitsoe ka makhetlo ao re a behileng ka litšobotsi tse itseng tsa lebelo la ho qhekella le sebopeho sa pakete.

Ts'ebetso ea transceiver ka har'a chip NRF24 основана на графе состояний, в который органично вписан протокол Enhanced ShockBurst. Мы выяснили, что непосредственно перед передачей HID-данных в USB-интерфейс хоста трансивер находился в состоянии IDLE. Это делает возможным его безопасное переконфигурирование для работы в побочном канале. Инжектированный код перехватывает управление, сохраняет оригинальную конфигурацию трансивера в полном объеме и переводит его в новый режим передачи на побочный канал. Механизм подтверждений Enhanced ShockBurst в этом режиме выключен, HID-данные в открытом виде передаются в радиоэфир. Структура пакета в побочном канале представлена на рисунке ниже, эпюры сигнала получены после демодуляции и до восстановления тактовой синхронизации данных. Значение адреса выбрано для удобства визуальной идентификации пакета.

Letšoao la Burst Burst le fokolitsoeng ho Side Channel

Ka mor'a hore pakete e fetisetsoe mocha o lehlakoreng, khoutu e kentsoeng e tsosolosa boemo ba transceiver. Joale e se e loketse ho sebetsa ka mokhoa o tloaelehileng molemong oa firmware ea mantlha.

Litabeng tsa khafetsa le tsa nako-frequency, mocha o lehlakoreng o shebahala tjena:

Спектральное и частотно-временное представление побочного канала

Ho leka ts'ebetso ea chip ea NRF24 e nang le firmware e fetotsoeng, re ile ra bokella sethala se neng se kenyelletsa dongle ea Logitech e nang le firmware e fetotsoeng, keyboard e se nang mohala le moamoheli e bokaneng motheong oa module ea Sechaena e nang le chip ea NRF24.

Logitech waelese keyboard radio interception circuit

Module e thehiloeng ho NRF24

На стенде при нормальной работе клавиатуры после подключения ее к донглу Logitech мы наблюдали передачу открытых данных о нажатиях клавиш в побочном радиоканале и нормальную передачу шифрованных данных в основном радиоинтерфейсе. Таким образом, нам удалось обеспечить прямой перехват клавиатурного ввода пользователя:

Sephetho sa ho thibela keyboard

Khoutu e kentsoeng e hlahisa tieho e nyane ts'ebetsong ea firmware ea dongle. Leha ho le joalo, li nyane haholo hore mosebelisi a ka li hlokomela.

Joalo ka ha u ka inahanela, keyboard efe kapa efe ea Logitech e tsamaellanang le theknoloji ea Unifying e ka sebelisoa bakeng sa vector ena ea tlhaselo. Kaha tlhaselo e lebisitse ho moamoheli oa Unifying e kenyellelitsoeng le li-keyboards tse ngata tsa Logitech, e ikemetse ho latela mofuta o itseng oa keyboard.

fihlela qeto e

Liphetho tsa phuputso li fana ka maikutlo a ts'ebeliso e ka bang teng ea boemo bo nahanoang ke bahlaseli: haeba senokoane se nkela motho ea hlokofalitsoeng sebaka ka moamoheli oa dongle bakeng sa keyboard e se nang mohala ea Logitech, o tla khona ho fumana li-password tsa li-account tsa mohlaseluoa ka tsohle tse latelang. liphello. U se ke ua lebala hore ho ka khoneha ho kenya li-keystrokes, e leng se bolelang hore ha ho thata ho etsa khoutu e ikemetseng khomphuteng ea motho ea hlokofalitsoeng.

Ho thoe'ng haeba ka tšohanyetso mohlaseli a ka fetola firmware ea leha e le efe ea Logitech dongle ka USB? Ebe, ho tloha li-dongles tse arohaneng haufi-ufi, u ka etsa marang-rang a li-repea-up le ho eketsa sebaka sa ho lutla. Le hoja mohlaseli "ea ruileng licheleteng" a tla khona ho "mamela" ho kenya keyboard le ho tobetsa linotlolo esita le ho tsoa mohahong o haufi, lisebelisoa tsa morao-rao tsa seea-le-moea tse nang le lisebelisoa tse khethehileng haholo, li-radio-radio tse nang le lisebelisoa tse nang le nako e khutšoanyane le li-antenna tse tataisoang haholo li tla li lumella. ho "mamela" ho kenya keyboard le ho tobetsa linotlolo esita le ho tloha mohahong oa boahelani.

Lisebelisoa tsa seea-le-moea tsa litsebi

Поскольку беспроводной канал передачи данных клавиатуры Logitech достаточно хорошо защищен, найденный вектор атаки требует наличия физического доступа к ресиверу, что сильно ограничивает атакующего. Единственным вариантом защиты в данном случае могло бы быть использование механизмов криптографической защиты для прошивки ресивера, например проверка подписи загружаемой прошивки на стороне ресивера. Но, к сожалению, NRF24 это не поддерживает и в рамках текущей архитектуры устройства реализовать защиту невозможно. Так что берегите ваши донглы, ведь описанный вариант атаки требует физического доступа к ним.

Raccoon Security – специальная команда экспертов НТЦ «Вулкан» в области практической информационной безопасности, криптографии, схемотехники, обратной разработки и создания низкоуровневого программного обеспечения.

Source: www.habr.com