فریمورهای جدید اینتل حاوی Backdoorsهای پیش پا افتاده ای است

محققان روش جدیدی برای شکست دادن روند تأیید بوت برای بعضی از سیستم های مبتنی بر اینتل پیدا کرده اند، اما این روش همچنین می تواند روی سیستم عامل های دیگر تاثیر بگذارد و می تواند برای سازش با ماشین ها به صورت یکنواخت و مداوم استفاده شود.

محققان پیتر بوش و ترامپل هادسون، حمله اتمام زمان (TOCTOU) را به ویژگی گارد بوت گارد از رابط مرجع مجتمع مجتمع مجتمع انعطاف پذیر (UEFI) اینتل در کنفرانس هک کنفرانس در آمستردام ارائه دادند. .

بوت گارد فناوری است که در میکرو آرشیو نسل چهارم Intel Core 4 نیز شناخته می شود که همچنین به نام Haswell شناخته می شود و به این معناست که اطمینان حاصل شود که نرمافزار سطح پایین (UEFI) از نظر بدنی اصلاح نشده است. این کار را با بررسی اینکه ماژول های سیستم عامل لود شده با استفاده از کلیدهای قابل اعتماد که هر بار که کامپیوتر شروع می شوند متعلق به اینتل یا سازنده کامپیوتر است، به صورت دیجیتالی امضا شده اند.

بوش، دانشجوی مستقل و دانشجوی علوم رایانه ای در دانشگاه لیدن در هلند، در حالی که تلاش می کرد راهی برای استفاده از نرم افزار منبع باز Coreboot در لپ تاپ خود پیدا کند، در انهدام پرونده تأیید بوت گارد کشف کرد. به طور خاص، او متوجه شد که پس از تایید سیستم سیستم عامل و ایجاد یک کپی معتبر در حافظه پنهان، بعد از آن، ماژول ها را از کپی اصلی که در تراشه حافظه Serial Peripheral Interface (SPI) خوانده می شود، می پردازد - تراشه ای که کد UEFI را ذخیره می کند .

این رفتار درست نیست، زیرا سیستم تنها پس از اتمام بررسی های رمزنگاری، تنها بر روی کپی تایید تکیه می کند. این باعث شد که بوش فکر کند ممکن است برای مهاجم یک فرصت برای تغییر کد سیستم عامل پس از تأیید صحت داشته باشد و قبل از اینکه آن را از حافظه SPI دوباره خواند. او یافته های خود را و پیاده سازی اثبات اولیه از Trammell Hudson، یکی از محققان سخت افزار و یکپارچه شناخته شده که کار قبلیش شامل حملات Thunderstrike علیه فناوری Thunderbolt اپل بود، به دست آورد.

هادسون یافته های بوش را تایید کرد و با همکاری یک حمله که شامل اتصال دستگاه برنامه نویسی به تراشه حافظه فلش برای پاسخ دادن با کد مخرب بود، هنگامی که CPU تلاش می کند که ماژول های نرم افزار را از حافظه SPI به جای کپی معتبر تجدید نظر کند. نتیجه اینست که کد مخرب و بدون علامت با موفقیت اجرا می شود، چیزی که Boot Guard برای جلوگیری از آن طراحی شده است.

در حالی که این حمله نیاز به باز کردن پرونده لپ تاپ برای اتصال اتصالات اتصال به تراشه دارد، راه هایی برای ایجاد آن دائمی است، مانند جایگزینی تراشه SPI با یک سرکش که تقلید UEFI است و همچنین کد مخرب را ارائه می دهد. در حقیقت، هادسون قبلا چنین تراشه ای شبیه ساز طراحی کرده است که دارای ابعاد مشابهی با یک تراشه واقعی فلش SPI است و اگر بخشی از پوشش پلاستیکی به آن اضافه شود، می تواند به راحتی به عنوان یکی از بازرسی های بصری منتقل شود.

پیامدهای حملات TOCTOU چیست؟

اینتل بوت گارد و ویژگی های بوت امن ایجاد شده است برای جلوگیری از مهاجمان از تزریق نرم افزارهای مخرب به UEFI و یا سایر اجزای بارگذاری شده در طول فرایند بوت شدن مانند سیستم عامل bootloader OS یا هسته. چنین برنامه های بدافزار برای مدت زمان طولانی وجود داشته و به عنوان rootkits boot یا bootkits نامگذاری شده اند و مهاجمان از آنها استفاده می کنند، زیرا آنها بسیار پایدار و سخت برای حذف هستند. به همین دلیل است که آنها بعد از هر بار راه اندازی مجدد سیستم عامل را دوباره آلوده می کنند تا هر برنامه آنتی ویروس فرصتی برای شروع و شناسایی آنها داشته باشد.

در نوع مبادله تراشه، حمله هادسون و بوش به عنوان یک بوت کیت پایدار سخت افزاری عمل می کند. این می تواند مورد استفاده قرار گیرد برای سرقت رمزهای رمزگذاری دیسک و سایر اطلاعات حساس از سیستم و برای شناسایی بدون باز کردن دستگاه و بررسی دقیق مادربرد آن بسیار سخت است.

حتی اگر چنین حملات فیزیکی نیازمند یک رویکرد هدفمند باشد و هرگز تهدیدی گسترده نخواهد بود، آنها می توانند خطرات جدی را برای کسب و کار و کاربران که دسترسی به اطلاعات ارزشمند دارند، ایجاد کنند.

چنین مصالحه فیزیکی می تواند به روش های مختلفی اتفاق بیافتد، به عنوان مثال در یک سناریوی نوعی شیطانی که در آن یک هدف ارزشمند مانند مدیر عامل شرکت، به یک کشور خارجی سفر می کند و لپ تاپ خود را در اتاق هتل خود بی نظیر نگه می دارد. بوش به CSO می گوید که تعویض تراشه حافظه SPI با یک ریشخند طراحی شده برای اجرای این حمله 15 تا 20 دقیقه برای یک مهاجم با تجربه با تجهیزات مناسب می گیرد.

احتمال دیگری نیز این است که حملات زنجیره تامین یا به اصطلاح «روش ممنوعیت» که در آن حمل و نقل کامپیوترها از طریق حمل و نقل متوقف می شود، به طور مثال توسط سازمان اطلاعاتی، پشتیبانی می شوند و سپس مجددا مجددا برای پنهان کردن هرگونه سوء استفاده می شوند. اسناد منتشر شده توسط ادوارد اسنودن نشان داد که NSA از این تکنیک ها استفاده می کند و احتمالا نه تنها سازمان اطلاعاتی برای انجام این کار است.

بعضی از دستگاه ها دارای مهر و موم و یا مکانیزم خاصی هستند، اما کسی که با منابع و دانش مناسب می تواند به راحتی از این دفاع دفاع کند، بوش به CSO می گوید.

کارکنان مضر همچنین می توانند از این تکنیک در لپ تاپ های مورد استفاده خود استفاده کنند تا کنترل های دسترسی را دور بزنند و امتیازات مدیر را به دست بیاورند و یا پس از ترک شرکت از دسترسی به داده های شرکت و شبکه استفاده کنند. چنین سازمانی می تواند کامپیوتر را از بین برده و دوباره استفاده کند.

در طول سالهای جاسوسی اقتصادی چندین مورد وجود دارد که کارکنان برای شرکت های مختلف به سرقت اسرار تجاری دست زده اند و آنها را به دولت های خارجی یا رقبا منتقل می کنند.

کاهش چیست؟

این دو محقق در ماه ژانویه اینتل را از یافته های خود مطلع ساختند و به CSO می گویند که چیپمبر این مسئله را به طور جدی مورد رسیدگی قرار داده و به شدت به آن اهمیت داده است. این شرکت در حال حاضر دارای تکه هایی برای پیاده سازی مرجع UEFI خود یعنی Tianocore است که با فروشندگان BIOS و سازندگان کامپیوتر مشترک است. محققان هنوز رفع نشده اند، اما حداقل بر اساس توصیف آنها به نظر جامع هستند و باید از حملات مشابه در آینده جلوگیری کنند.

مشکل این است که توزیع تکه های UEFI هرگز فرآیند آسان نیست. اینتل سهام UEFI خود را با فروشندگان UEFI / BIOS که قراردادهایی با تولیدکنندگان مختلف PC دارد، به اشتراک میگذارد. سپس آن OEM ها سفارشی های سیستم عامل خود را قبل از اینکه آنها را در داخل محصولات خود حمل کنند، تنظیم می کنند. این بدان معنی است که هر گونه اصلاح بعدی نیاز به همکاری و هماهنگی از طرف همه طرفهای درگیر دارد، نه به کاربران نهایی که نیاز دارند تا به اندازه کافی برای نصب و به روز رسانی UEFI نصب شوند.

تکه هایی برای آسیب پذیری های بحرانی و Spectre که باعث آسیب به CPU های اینتل نیز شد، نیاز به به روز رسانی UEFI داشت و چند ماه بعد برای برخی از فروشندگان PC آنها را برای محصولات آسیب دیده خود منتشر کرد. بسیاری از مدل ها هرگز تکه ها را به شکل به روز رسانی UEFI دریافت نکرده اند، زیرا تولید کنندگان دیگر از آنها پشتیبانی نمی کنند.

دو محقق قصد دارد کد مدرک مفهومی خود را در ماه های بعد به عنوان بخشی از یک ابزار به نام SPISpy منتشر کند که امیدوار است به دیگر محققان و اشخاص علاقه مند کمک کند تا بررسی کنند که آیا ماشین های خود آسیب پذیر هستند و به بررسی مسائل مشابه در سیستم عامل های دیگر .

بوش می گوید: "من واقعا می خواهم صنعت را در جهت باز کردن منبع به سیستم عامل خود ببینم تا بررسی صحت و امنیت آن آسان تر شود."