Thông tin về trong thiết bị có giao diện Thunderbolt, được hợp nhất dưới tên mã và bỏ qua tất cả các thành phần bảo mật chính của Thunderbolt. Dựa trên các vấn đề đã được xác định, chín kịch bản tấn công được đề xuất, thực hiện nếu kẻ tấn công có quyền truy cập cục bộ vào hệ thống thông qua kết nối thiết bị độc hại hoặc thao tác với phần sụn.
Các kịch bản tấn công bao gồm khả năng tạo mã nhận dạng của các thiết bị Thunderbolt tùy ý, sao chép thiết bị được ủy quyền, truy cập ngẫu nhiên vào bộ nhớ hệ thống thông qua DMA và ghi đè cài đặt Cấp độ bảo mật, bao gồm vô hiệu hóa hoàn toàn tất cả các cơ chế bảo vệ, chặn cài đặt các bản cập nhật chương trình cơ sở và dịch giao diện sang chế độ Thunderbolt trên hệ thống bị giới hạn ở chuyển tiếp USB hoặc DisplayPort.
Thunderbolt là giao diện phổ biến để kết nối các thiết bị ngoại vi kết hợp giao diện PCIe (PCI Express) và DisplayPort trong một cáp. Thunderbolt được phát triển bởi Intel và Apple và được sử dụng trong nhiều máy tính xách tay và PC hiện đại. Các thiết bị Thunderbolt dựa trên PCIe được cung cấp I/O DMA, điều này gây ra mối đe dọa về các cuộc tấn công DMA nhằm đọc và ghi toàn bộ bộ nhớ hệ thống hoặc thu thập dữ liệu từ các thiết bị được mã hóa. Để ngăn chặn các cuộc tấn công như vậy, Thunderbolt đã đề xuất khái niệm Cấp độ bảo mật, cho phép chỉ sử dụng các thiết bị được người dùng ủy quyền và sử dụng xác thực bằng mật mã của các kết nối để bảo vệ chống giả mạo ID.
Các lỗ hổng được xác định có thể vượt qua ràng buộc đó và kết nối một thiết bị độc hại dưới vỏ bọc của một thiết bị được ủy quyền. Ngoài ra, có thể sửa đổi chương trình cơ sở và chuyển SPI Flash sang chế độ chỉ đọc, chế độ này có thể được sử dụng để vô hiệu hóa hoàn toàn các cấp độ bảo mật và cấm cập nhật chương trình cơ sở (các tiện ích đã được chuẩn bị cho các thao tác như vậy и ). Tổng cộng, thông tin về bảy vấn đề đã được tiết lộ:
- Sử dụng các chương trình xác minh phần sụn không đầy đủ;
- Sử dụng sơ đồ xác thực thiết bị yếu;
- Đang tải siêu dữ liệu từ một thiết bị chưa được xác thực;
- Sự sẵn có của các cơ chế tương thích ngược cho phép sử dụng các cuộc tấn công khôi phục trên ;
- Sử dụng các tham số cấu hình bộ điều khiển không được xác thực;
- Trục trặc trong giao diện của SPI Flash;
- Thiếu trang bị bảo hộ ở cấp độ .
Lỗ hổng này ảnh hưởng đến tất cả các thiết bị được trang bị Thunderbolt 1 và 2 (dựa trên Mini DisplayPort) và Thunderbolt 3 (dựa trên USB-C). Vẫn chưa rõ liệu sự cố có xuất hiện trong các thiết bị có USB 4 và Thunderbolt 4 hay không, vì những công nghệ này mới chỉ được công bố và chưa có cách nào để kiểm tra khả năng triển khai của chúng. Các lỗ hổng không thể được loại bỏ bằng phần mềm và yêu cầu thiết kế lại các thành phần phần cứng. Tuy nhiên, đối với một số thiết bị mới, có thể chặn một số sự cố liên quan đến DMA bằng cơ chế , hỗ trợ bắt đầu được triển khai bắt đầu từ năm 2019 ( trong nhân Linux, bắt đầu từ bản phát hành 5.0, bạn có thể kiểm tra việc đưa vào thông qua “/sys/bus/thunderbolt/devices/domainX/iommu_dma_protection”).
Tập lệnh Python được cung cấp để kiểm tra thiết bị của bạn , yêu cầu chạy bằng root để truy cập DMI, bảng ACPI DMAR và WMI. Để bảo vệ các hệ thống dễ bị tổn thương, chúng tôi khuyên bạn không nên để hệ thống của mình ở chế độ chờ hoặc không được giám sát, không kết nối thiết bị Thunderbolt của người khác, không để hoặc chuyển thiết bị của bạn cho người khác và đảm bảo rằng thiết bị của bạn được bảo mật về mặt vật lý. Nếu không cần Thunderbolt, bạn nên tắt bộ điều khiển Thunderbolt trong UEFI hoặc BIOS (điều này có thể khiến các cổng USB và DisplayPort không hoạt động nếu chúng được triển khai thông qua bộ điều khiển Thunderbolt).
Nguồn: opennet.ru