來自劍橋大學、萊斯大學與史丹佛國際研究院(SRI International)的研究人員,公布了一項有關Thunderbolt介面安全性的研究報告,藉由惡意的Thunderbolt周邊裝置開採IOMMU漏洞,宣稱幾秒內就可攻陷目標系統,允許駭客以最高權限執行任意程式,或是執行直接記憶體存取(Direct Memory Access,DMA)攻擊,以存取記憶體中所存放的密碼、銀行憑證或加密金鑰等,殃及Windows、macOS、 Linux與FreeBSD等平台。

研究人員打造了結合軟、硬體的Thunderclap平台,模擬合法周邊裝置的功能以開採作業系統「輸入/輸出記憶體管理單元」(input-output memory management units,IOMMU)保護機制的漏洞,取得DMA權限,再濫用該權限危害目標系統。而Thunderbolt 3則是促進相關攻擊的要件之一。

研究人員利用Thunderclap平台挖掘了眾多的安全漏洞,將它們統稱為Thunderclap漏洞,也已開發出多種概念性驗證程式。

Thunderclap漏洞奠基在以往被視為電腦系統可靠元件的網路卡或GPU,不需要作業系統的監督就能讀寫系統記憶體(DMA),為了保護它,作業系統配備了可用來限制周邊裝置存取記憶體的IOMMU機制,倘若駭客能夠繞過IOMMU,就能濫用DMA權限。在研究人員所發現的DMA攻擊漏洞中,有時候是系統根本沒啟用IOMMU或配置錯誤,有些漏洞就算是啟用了IOMMU也能被開採。

而由英特爾與蘋果共同開發的Thunderbolt主要用來連結電腦與周邊設備,最新的Thunderbolt 3可使用USB Type-C接孔,可同時支援充電與資料傳輸,除了蘋果裝置之外,也有不少採用其它平台的筆電支援Thunderbolt。

研究人員指出,諸如允許Thunderbolt 3使用USB-C傳輸埠等硬體互連機制的興起,結合了電力的輸入、影片的輸出,再加上周邊裝置的DMA也在同一個連結埠上,大大地提高了Thunderclap的實際攻擊能力。例如Thunderbolt允許惡意周邊熱插入正在執行的電腦並直接存取記憶體,讓臨時起意的DMA攻擊更可行,而電源、影片或DMA的混亂,也有助於駭客打造可掌控電腦的惡意充電站或投影機。

Thunderclap漏洞影響了蘋果從2011年迄今所生產的所有桌上型電腦及筆電,但12吋MacBook除外,以及2016年以來所生產的部份Windows與Linux桌機及筆電,只要支援Thunderbolt的電腦就會受到波及。

此外,惡意的PCI Express裝置,不管是網路卡或焊在主機板上的晶片,也能夠開採Thunderclap漏洞。

其實研究人員早在2016年就向業者揭露了相關漏洞,蘋果已解決特定網路卡問題,微軟是在去年釋出的Windows 10 1803中針對Thunderbolt裝置提供IOMMU支援,英特爾則替Linux kernel 5.0貢獻了修補程式,但這些業者的修補並未解決所有問題,目前最好的建議是避免插入來路不明的Thunderbolt裝置。

儘管如此,研究人員還是決定開源Thunderclap平台,以協助那些缺乏資源與技術的業者,評估自家產品面對DMA攻擊的承受力。


Advertisement

更多 iThome相關內容