0
| 本文作者： 劉琳 | 2020-05-13 17:57 |
你的電腦很可能又被黑客盯上了。
雷鋒網(wǎng)消息，近日，據(jù)外媒報(bào)道，一名荷蘭研究人員 Ruytenberg 展示了黑客如何通過(guò) Thunderbolt 實(shí)施物理訪問(wèn)進(jìn)而攻擊電腦，并指出了 7 類(lèi)漏洞 ：
固件驗(yàn)證方案不足
弱設(shè)備認(rèn)證方案
未經(jīng)驗(yàn)證的設(shè)備元數(shù)據(jù)的使用
使用向后兼容性降低攻擊級(jí)別
未經(jīng)驗(yàn)證的控制器配置的使用
SPI 閃存接口缺陷
在 Boot 營(yíng)地沒(méi)有雷電安全
研究者指出，這些漏洞適用于自 2011年以來(lái)所有裝有 Thunderbolt 的計(jì)算機(jī)，并且允許擁有物理訪問(wèn)權(quán)限的攻擊者從加密的驅(qū)動(dòng)器和內(nèi)存中快速竊取數(shù)據(jù)。
更可怕的是，即便你的設(shè)備即使處于睡眠模式或鎖定的狀態(tài)、設(shè)置安全引導(dǎo)、使用強(qiáng) BIOS 和操作系統(tǒng)帳戶(hù)密碼以及啟用完全磁盤(pán)加密，攻擊仍然有效，并且這種攻擊不會(huì)留下任何痕跡，也不需要任何形式的網(wǎng)絡(luò)釣魚(yú)，還可以從加密驅(qū)動(dòng)器中竊取數(shù)據(jù)，而完成這一過(guò)程只需要 5 分鐘。
研究人員將這一漏洞命名為 Thunderspy。值得注意的是，這是個(gè)硬件級(jí)漏洞，只要幾百美元的設(shè)備就能攻破該漏洞。
據(jù)雷鋒網(wǎng)此前報(bào)道，在 Mac 電腦和部分 Windows 電腦上，Thunderbolt 端口能夠被用來(lái)連接外圍設(shè)備，比如顯示器、高速網(wǎng)絡(luò)適配器、普通硬盤(pán)和容量更大的存儲(chǔ)陣列。在筆記本電腦上，一個(gè) Thunderbolt 插接站就可以讓你的電腦接入閃存讀卡器、電源電纜、HDMI 顯示器、以太網(wǎng)以及 USB 鼠標(biāo)和鍵盤(pán)。
但一直以來(lái)，Thunderbolt 有一個(gè)讓安全研究人員都很擔(dān)心的問(wèn)題：因其更快的數(shù)據(jù)傳輸速度，并且允許比其他端口更直接地訪問(wèn)計(jì)算機(jī)內(nèi)存，所以導(dǎo)致漏洞的風(fēng)險(xiǎn)也更大。
這不就來(lái)了。
3 個(gè)月前，Ruytenberg 向英特爾報(bào)告了這一漏洞，經(jīng)核查，英特爾承認(rèn)了這一漏洞。
英特爾表示：“雖然潛在的漏洞并不是新出現(xiàn)的，而且在去年的操作系統(tǒng)發(fā)布版中就已經(jīng)解決了，但是研究人員在沒(méi)有啟用這些緩解措施的系統(tǒng)上使用定制的外圍設(shè)備，演示了新的潛在物理攻擊載體。
但他們并沒(méi)有證明 DMA 攻擊能夠成功地攻擊啟用了這些緩解措施的系統(tǒng)。對(duì)于所有系統(tǒng)，我們建議遵循標(biāo)準(zhǔn)的安全實(shí)踐，包括只使用受信任的外圍設(shè)備和防止未經(jīng)授權(quán)的物理訪問(wèn)計(jì)算機(jī)。英特爾將繼續(xù)改進(jìn) Thunderbolt 技術(shù)的安全性，感謝來(lái)自埃因霍芬理工大學(xué)的研究人員向我們報(bào)告了這一情況。”
不過(guò)，Ruytenberg 有不同的看法，因?yàn)樵趯?shí)驗(yàn)中，他們沒(méi)有發(fā)現(xiàn)任何一臺(tái)戴爾電腦安裝了上述保護(hù)措施，只有部分惠普和聯(lián)想筆記本安裝了。
此外，這些漏洞也無(wú)法通過(guò)軟件更新修復(fù)，因?yàn)樗鼈儽举|(zhì)上與硬件設(shè)計(jì)有關(guān)，即使用戶(hù)在操作系統(tǒng)中調(diào)整了安全設(shè)置，也不能完全避免此類(lèi)攻擊，所以只能靠今后重新設(shè)計(jì)硬件才能完全解決。
也就是說(shuō)，目前還無(wú)法解決這個(gè)威脅。
為了進(jìn)一步證明這個(gè)漏洞的影響，Ruytenberg 在 youtub 上傳了一段分析視頻。
在演示視頻中，他卸下了電腦的后蓋，將 SPI 編程器和主板上的雷電控制器連接起來(lái)。
然后在另一臺(tái)電腦上的雷電接口上插入一個(gè)自制破解設(shè)備，運(yùn)行 PCI Leech 軟件（一種內(nèi)核插入和攻擊工具），通過(guò)改變控制 Thunderbolt 端口的固件，允許任何設(shè)備訪問(wèn)，而整個(gè)過(guò)程只用了 5 分鐘。
這樣一來(lái)，攻擊者可以永久禁用 Thunderbolt 安全并阻止所有未來(lái)的固件更新。
該攻擊只需要價(jià)值約 400 美元的裝備，包括一個(gè) SPI 編碼器和價(jià)值 200 美元的 Thunderbolt 外設(shè)。
當(dāng)然，除了上面要拆開(kāi)筆記本的方法外，Thunderspy 攻擊還有一種無(wú)需物理侵入的方法。
即通過(guò)創(chuàng)建任意的雷電設(shè)備身份，克隆用戶(hù)授權(quán)的雷電設(shè)備，最后獲得 PCIe 連接以執(zhí)行 DMA 攻擊。
這樣，無(wú)需打開(kāi)電腦外殼，即可繞過(guò)目標(biāo)設(shè)備的鎖定屏幕。但是，只有將雷電接口的安全性設(shè)置為允許受信任設(shè)備的默認(rèn)設(shè)置時(shí)，這種無(wú)需物理侵入的 Thunderspy 攻擊才有效。
目前，英特爾尚未發(fā)布任何 Thunderspy 漏洞的 CVE 信息，并且不計(jì)劃發(fā)布針對(duì)市場(chǎng)上已有系統(tǒng)的修復(fù)程序。蘋(píng)果則決定不為 Thunderspy 提供修復(fù)程序。
所以，對(duì)于用戶(hù)來(lái)說(shuō)，怎樣保護(hù)電腦不被黑客攻擊呢？安全研究人員也給出了一些建議。
通過(guò)免費(fèi)的開(kāi)源工具 Spycheck，驗(yàn)證是否受到 Thunderspy 的攻擊：
驗(yàn)證地址：https://thunderspy.io/
只連接自己的 Thunderbolt 外設(shè)；不要把它們借給任何人；
避免開(kāi)機(jī)時(shí)無(wú)人值守系統(tǒng)，即使屏幕被鎖定；
避免讓 Thunderbolt 外設(shè)無(wú)人看管；
存儲(chǔ)系統(tǒng)和任何 Thunderbolt 設(shè)備(包括 Thunderbolt 供電的顯示器)時(shí)，確保適當(dāng)?shù)奈锢戆踩?/p>
避免使用睡眠模式(內(nèi)存掛起)。
雷鋒網(wǎng)雷鋒網(wǎng)雷鋒網(wǎng)
參考鏈接：
【3】https://thunderspy.io/assets/reports/breaking-thunderbolt-security-bjorn-ruytenberg-20200417.pdf
【4】https://www.engadget.com/thunderbolt-flaw-access-data-theft-075856181.html
【5】https://www.windowscentral.com/leaked-video-shares-why-surface-devices-dont-support-thunderbolt
【6】https://thunderspy.io/#affected-windows-systems
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。
