هکرها می توانند از اشکالات دقیق اینتل برای نصب سیستم عامل مخرب بر روی رایانه ها استفاده کنند


گتی ایماژ

از آنجا که مقدار داده های حساس ذخیره شده در رایانه ها در طی دهه گذشته منفجر شده است ، فروشندگان سخت افزار و نرم افزار منابع بیشتری را در امنیت دستگاه ها در برابر حملات فیزیکی در صورت گم شدن ، سرقت یا ضبط آنها سرمایه گذاری کرده اند. در اوایل این هفته ، اینتل یک سری اشکالات را اصلاح کرد که به مهاجمین امکان نصب میان افزار مخرب روی میلیون ها رایانه را که از پردازنده های آن استفاده می کنند ، می دهد.

این آسیب پذیری ها به هکرهای دسترسی فیزیکی اجازه می دهد تا از حفاظت اینتل که در پردازنده های مدرن تعبیه شده است ، غافل شوند و این از اجرای میان افزار غیرمجاز در هنگام راه اندازی جلوگیری می کند. این اقدام که با عنوان Boot Guard شناخته می شود ، برای اتصال مستقیم زنجیره اعتماد به سیلیکون طراحی شده است تا اطمینان حاصل کند که تمام سیستم عامل بوت شده توسط سازنده رایانه به صورت دیجیتالی امضا شده است. Boot Guard از احتمال دستکاری شخصی در تراشه فلش متصل به SPI که UEFI را ذخیره می کند جلوگیری می کند ، این یک میان افزار پیچیده است که سیستم عامل دستگاه رایانه را به سیستم عامل آن متصل می کند.

امنیت سخت افزار

این نوع هک معمولاً هنگامی رخ می دهد که مهاجمان سخت افزاری را به داخل رایانه متصل می کنند و از Dediprog یا ابزارهای برنامه نویسی تراشه مشابه برای جایگزینی میان افزار مجاز با میان افزار مخرب استفاده می کنند.

ترامل هادسون

همانطور که اینتل در اینجا توضیح می دهد:

اجرای کد UEFI BIOS معمولاً مربوط به سخت افزار زمینه ای نیست ، به این معنی که این کد BIOS UEFI بدون تأیید یا اندازه گیری کار می کند. بنابراین ، کل فرایند بوت را در معرض تضعیف BIOS قرار می دهد ، خواه این امر می تواند از طریق یک فرآیند به روزرسانی بدون حفاظت یا حملات سخت افزاری ساده با استفاده از جایگزینی حافظه فلش SPI یا استفاده از Dediprog باشد.

Intel Boot Guard کنترل های مبتنی بر سخت افزار مبتنی بر سخت افزار را به تولیدکنندگان سیستم عامل و دارندگان سیستم عامل ارائه می دهد تا کد BIOS را در آن سیستم عامل اجرا کند. Intel Boot Guard یک Root-of-Trust (RoT) مبتنی بر سخت افزار را برای آزمایش بستر بوت فراهم می کند ، که وظیفه بررسی تصویر BIOS قبل از اجرای BIOS را بر عهده دارد. Intel Boot Guard با افزایش نوارهای امنیتی پلت فرم ، بردارهای بالای حمله را کاهش داده و شروع حملات برای تضعیف روند بوت را دشوار می کند.

در اوایل سال جاری ، محقق امنیت Trammel Hudson سه آسیب پذیری را کشف کرد که مانع از کار Boot Guard هنگام خواب کامپیوتر می شود. این حالت که از نظر فنی با نام S3 شناخته می شود ، تمام موارد ذخیره شده در حافظه کامپیوتر را حفظ می کند ، اما پردازنده را کاملا خاموش می کند.

تضعیف محافظ بوت

مهاجمی که بتواند هنگام بیدار شدن از خواب Boot Guard را دور بزند ، قادر به انجام اقدامات مخرب خواهد بود. مهمترین این موارد به دست آوردن کلیدهایی است که برای رمزگذاری درایوهای سخت استفاده می شود ، به شرطی که کلیدها در حافظه ذخیره شوند ، همانطور که در هنگام خواب در بسیاری از رایانه ها وجود دارد. این به مهاجم اجازه می دهد تا نسخه های رمزگشایی شده تمام داده های ذخیره شده در رایانه را بدون نیاز به رمز ورود کاربر بدست آورد.

همچنین مهاجم می تواند دستگاه را با روت کیت آلوده کند – کد مخربی که تشخیص آن دشوار یا غیرممکن است ، که تا زمان راه اندازی مجدد بعدی در حالت مدیریت سیستم کار می کند. چنین کاشت های SMM چیزی است که NSA در اختیار دارد.

اگرچه این نوع سو explo استفاده ها جدی هستند ، اما سناریوهای حمله محدود هستند زیرا هک کردن از راه دور امکان پذیر نیست. برای بسیاری از افراد ، حملاتی که به دسترسی فیزیکی نیاز دارند بخشی از مدل تهدید آنها نیست. علاوه بر این ، شما در زمینه سخت افزار و سیستم عامل و ابزارهای ویژه ای مانند Dediprog یا Spispy ، یک شبیه ساز Flash منبع باز توسعه یافته توسط Hudson به تخصص نیاز خواهید داشت. در مقاله ای که این هفته منتشر شد ، هادسون نوشت:

از آنجا که CVE-2020-8705 به دسترسی فیزیکی نیاز دارد ، استفاده از مهاجم دشوارتر از بهره برداری از راه دور است. با این حال ، چندین سناریوی واقع بینانه حمله وجود دارد که می توان از آن استفاده کرد.

یک نمونه ترخیص کالا از گمرک فرودگاه است. بیشتر مسافران در حین فرود لپ تاپ خود را بسته و اجازه می دهند تا وارد حالت خواب S3 شود. اگر دستگاه توسط آژانس مسابقه هنگام فرود انتخاب شود ، کلیدهای رمزگذاری دیسک هنوز در حافظه نیستند. حریف می تواند پوشش زیرین را برداشته و یک شبیه ساز فلش را به صورت جاسوسی به تراشه فلش در داخل سیستم وصل کند. آنها می توانند دستگاه را از خواب بیدار کنند و از طریق spispy سیستم عامل خود را در اختیار آن قرار دهند. این سیستم عامل می تواند حافظه را اسکن کرده تا روند قفل صفحه سیستم عامل را پیدا کرده و آن را غیرفعال کند و سپس به سیستم اجازه می دهد تا به طور معمول از سر گرفته شود. آنها اکنون به دستگاه قفل شده و اسرار آن دسترسی دارند بدون اینکه مالک را مجبور به ارائه گذرواژه کنند.

در این مرحله ، حریف می تواند روت کیت SMM “Ring -2” خود را نصب کند که تا زمان راه اندازی مجدد سخت بعدی ثابت خواهد بود. این می تواند آنها را قادر به اجرای کد در سیستم هنگام انتقال کد به شبکه قابل اعتماد کند ، و به طور بالقوه امکان حرکت افقی را فراهم می کند.

مثال دیگر کاشت سخت افزاری است که از یک فلاش SPI تقلید می کند. ICE40up5k [a small field-programmable gate array board] مورد استفاده در یکی از انواع spispy به راحتی در بسته SOIC-8 قرار دارد و یا اجازه می دهد تا یک حمله مداوم به مسیر رزومه داشته باشید. از آنجا که FPGA به راحتی می تواند بین بوت سرد و اعتبار سنجی از سیستمی که از حالت خواب از سر گرفته تمایز قائل شود ، دستگاه هنگام تأیید یا خواندن توسط ابزاری مانند flashrom ، می تواند نسخه تمیز سیستم عامل را با امضای صحیح ارائه دهد و فقط یک نسخه اصلاح شده را ارائه می دهد. در هنگام بهبودی از خواب. تشخیص این نوع کاشت با نرم افزار بسیار دشوار است و اگر به خوبی انجام شود ، در مادربرد بی جای به نظر نمی رسد.

اصلاحیه ج

یکی از نقاط ضعف موجود در Boot Guard از تنظیمات پیکربندی ناشی می شود که تولید کنندگان به معنای واقعی کلمه از طریق فرایندی به نام فیوزهای قابل برنامه ریزی یکبار مصرف در پردازنده می سوزند. OEM ها باید بتوانند تراشه را برای اجرای Boot Guard پیکربندی کنند ، وقتی کامپیوتر از S3 خارج می شود یا نه. هادسون مطمئن نیست که چرا هر پنج سازنده ای که او آزمایش کرده است ، آن را خاموش کرده اند ، اما او گمان می کند دلیل این کار این است که ماشین آلات از این طریق خیلی سریع از سر گرفته می شوند.

سخنگوی اینتل نوشت: “اینتل از آسیب پذیری م theثر بر Intel Boot Guard مطلع شده است ، كه در آن یك حمله فیزیكی می تواند هنگام احیا از خواب ، احراز هویت Intel Boot Guard را دور بزند. اینتل اقدامات تخفیف را اعلام کرده و حفظ مالکیت فیزیکی دستگاه ها را توصیه می کند. “

اینتل نمی گوید که چگونه یک آسیب پذیری را که ناشی از تنظیمات فیوز است و نمی توان آن را بازنشانی کرد ، برطرف کرده است. هادسون مظنون است که اینتل با استفاده از سیستم عامل مبتنی بر Intel Management Engine ، یک پردازنده امنیتی و کنترل در چیپست پردازنده ، این تغییر را ایجاد کرده است که علاوه بر موارد دیگر ، دسترسی به فیوزهای OTP را نیز کنترل می کند. (اوایل این هفته ، اینتل جزئیات هرگز فاش نشده ای درباره ME را در اینجا ارسال کرد.)

دو آسیب پذیری دیگر از نقص در نحوه بازیابی میان افزار میان پردازنده ها هنگام روشن شدن ناشی می شود. هر سه آسیب پذیری تحت شناسه ردیابی منفرد CVE-2020-8705 نمایه شد که شدت بالایی از اینتل دریافت کرد. (اینتل در ماه نوامبر مروری بر کلیه اصلاحات امنیتی دارد. سازندگان رایانه این هفته به روزرسانی ها را آغاز کردند. پست هادسون که در بالا پیوند داده شده دارای اطلاعات فنی و دقیق تر است.


منبع: tarjome-news.ir

Leave a reply

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>