Security Researcherは、すべてのThunderboltセキュリティを無効にする検出不可能なハードウェア攻撃であるThunderspyを実証します

最近聞いたことがあります MicrosoftはThunderboltのファンではありませんでした 彼らはそれがPCのRAMへの安全でない直接アクセスを提供すると考えているので、それはあらゆる種類の悪党につながる可能性があります。

現在、セキュリティ研究者のBjörnRuytenbergは、IntelのThunderboltセキュリティ機能を簡単にバイパスし、攻撃者がロックされ暗号化されたPCからメモリをコピーしたり、ロック画面を簡単にバイパスしたりできる、検出不可能で迅速なハードウェア攻撃を実証しました。

彼は、次の脆弱性を利用するThunderspyというツールを披露しました。

1. 不十分なファームウェア検証スキーム
2. 弱いデバイス認証スキーム
3. 認証されていないデバイスメタデータの使用
4. 下位互換性を使用したダウングレード攻撃
5. 認証されていないコントローラー構成の使用
6. SPIフラッシュインターフェースの欠陥
7. BootCampにThunderboltのセキュリティはありません

このツールを使用すると、PCに物理的にアクセスできる攻撃者は、Thunderboltコントローラーを永続的に再プログラムでき、それ以降、Microsoftの悪夢のシナリオであるセキュリティ対策なしで誰でも直接メモリアクセスを許可できます。

Ruytenbergは、以下のビデオで攻撃を示しています。

彼のツールを使用すると、任意のThunderboltデバイスIDを作成し、ユーザーが承認したThunderboltデバイスのクローンを作成し、最後にPCIe接続を取得してDMA攻撃を実行できます。 さらに、Thunderboltセキュリティを完全に無効にする機能や、システムがUSBやDisplayPortのみを通過するように制限されている場合は、Thunderbolt接続を復元する機能など、セキュリティレベル構成の認証されていないオーバーライドを許可し、最後にThunderboltセキュリティを永続的に無効にしてすべてをブロックします将来のファームウェアアップデート。

Ruytenbergは、2011年から2020年の間に出荷されたThunderboltを搭載したすべてのシステムが脆弱であると述べています。 2019年から出荷されているカーネルDMA保護を提供する一部のシステムは、部分的に脆弱です。

Thunderspyの脆弱性はソフトウェアで修正できず、USB4やThunderbolt4などの将来の標準に影響を与え、最終的にはシリコンの再設計が必要になります。

新しいPCの場合（2019以降） IntelのカーネルDMA保護 ある程度の保護を提供しますが、興味深いことに、Apple MacOSラップトップがBootcampで起動すると、すべてのThunderboltセキュリティが無効になります。

Ruytenbergは、システムがThunderspyに対して脆弱であるかどうかを検証するオープンソースツールSpycheckを提供しています。 脆弱であることが判明した場合、Spycheckは、システムの保護に役立つ推奨事項をユーザーに案内します。

影響を受けるシステムがある場合、Ruytenbergは次のことを提案します。

• 独自のThunderbolt周辺機器のみを接続してください。 決して誰にも貸してはいけません。
• 画面がロックされている場合でも、電源がオンになっている間はシステムから離れないでください。
• Thunderbolt周辺機器を放置しないでください。
• システムおよびThunderbolt搭載ディスプレイを含むThunderboltデバイスを保管する場合は、適切な物理的セキュリティを確保してください。
• 休止状態（Suspend-to-Disk）を使用するか、システムの電源を完全にオフにすることを検討してください。 具体的には、スリープモード（RAMへのサスペンド）の使用は避けてください。

Ruytenbergのサイトで完全な記事をチェックしてください こちら.

攻撃者がPCに物理的にアクセスできる場合、それは本質的にゲームオーバーであるというのは常に真実ですが、MicrosoftはSurface製品を設計するときに、このシナリオでさえ真剣に受け止めているようです。 このニュースは、PCにThunderboltのような非常に用途の広いポートを搭載することの重要性に関する読者の見方を変えますか？ 以下にお知らせください。