지난 XNUMX월 정보 보안을 전문으로 하는 컴퓨터 과학 및 공학 석사 학생인 Björn Ruytenberg가 일련의 Thunderbolt 보안 결함을 발견하고 보고했습니다. Ruytenberg는 Thunderbolt 취약점 보고서를 게시하고 이 해킹 기술을 Thunderspy라고 명명했습니다. Thunderspy는 모든 기본 Thunderbolt 보안 주장을 깨는 취약점 모음입니다. 기본적으로 Thunderbolt는 대부분의 경우 사용자 모르게 시스템을 감시할 수 있습니다.
지난 XNUMX월 정보 보안을 전문으로 하는 컴퓨터 과학 및 공학 석사 학생인 Björn Ruytenberg가 일련의 Thunderbolt 보안 결함을 발견하고 보고했습니다. Ruytenberg는 Thunderbolt 취약점 보고서를 게시하고 이 해킹 기술을 Thunderspy라고 명명했습니다. Thunderspy는 모든 기본 Thunderbolt 보안 주장을 깨는 취약점 모음입니다. 기본적으로 Thunderbolt는 대부분의 경우 사용자 모르게 시스템을 감시할 수 있습니다.
연구에 따르면 Thunderbolt의 취약점을 통해 해커는 몇 분 안에 컴퓨터에 침입하여 데이터에 액세스할 수 있습니다. Thunderspy는 Thunderbolt 포트가 있는 장치를 대상으로 하며 2019년 이전에 제조된 모든 PC(수백만 대)에 영향을 미칩니다. 컴퓨터에 이러한 포트가 있는 경우 드라이브가 암호화되어 있고 컴퓨터가 잠기거나 절전 모드로 설정되어 있어도 짧은 물리적 액세스 권한을 가진 공격자는 컴퓨터의 모든 데이터를 읽고 복사할 수 있다고 연구원은 말했습니다.
Thunderbolt는 외부 주변 장치를 컴퓨터에 연결하고 빠른 데이터 전송을 가능하게 하는 인텔(Apple과 공동 작업)에서 개발한 독점 I/O 프로토콜입니다. 이 프로토콜은 여러 랩탑, 데스크탑 및 기타 시스템에 포함되어 있습니다.
Ruytenberg는 Thunderbolt가 외부 상호 연결이므로 시스템의 내부 PCI Express(PCIe) 도메인을 외부 장치에 노출할 수 있다고 설명합니다. “이는 외부 그래픽 카드와 같은 고대역폭, 짧은 대기 시간 사용 사례를 가능하게 합니다. PCIe 기반 Thunderbolt 장치는 Direct Memory Access 지원 I/O를 보유하여 PC 상태에 대한 완전한 액세스와 모든 시스템 메모리 읽기 및 쓰기 기능을 허용합니다.” 이 기능은 총칭하여 "사악한 가정부"라고 알려진 공격에 대한 연구를 촉발시켰습니다. 사악한 가정부 공격은 무인 장치에 대한 공격으로, 물리적 액세스 권한이 있는 공격자가 나중에 장치나 데이터에 액세스할 수 있도록 감지할 수 없는 방식으로 장치를 변경합니다.
“Thunderspy는 스텔스로 공격의 흔적을 찾을 수 없습니다. 당신의 개입이 필요하지 않습니다.” 루이텐베르크가 말했다. “Thunderspy는 잠시 자리를 비울 때 컴퓨터를 잠그거나 일시 중단하여 최고의 보안 관행을 따르는 경우에도 작동합니다. 그리고 시스템 관리자가 Secure Boot, 강력한 BIOS 및 운영 체제 계정 암호로 장치를 설정하고 전체 디스크 암호화를 활성화한 경우." 이 취약점은 공격자가 컴퓨터에 몇 분만 있으면 데이터에 액세스하고 손상시킬 수 있음을 의미합니다.
이 연구에서 연구원들은 Thunderbolt 프로토콜 보안과 관련된 여러 취약점을 발견하고 실험적으로 확인했습니다. 연구원들은 다음과 같은 취약점을 공개했습니다.
- 부적절한 펌웨어 검증 체계.
- 약한 장치 인증 체계.
- 인증되지 않은 기기 메타데이터 사용.
- 하위 호환성.
- 인증되지 않은 컨트롤러 구성 사용.
- SPI 플래시 인터페이스 결함.
- Boot Camp에 Thunderbolt 보안이 없습니다.
YouTube에 업로드된 비디오(Thunderspy PoC 데모 1: 5분 안에 Windows PC 잠금 해제)에서 연구는 Thunderspy 취약점 변종 5: 인증되지 않은 컨트롤러 구성 사용을 악용하는 공격을 보여줍니다.
https://www.youtube.com/watch?v=7uvSZA1F9os&feature=emb_logo
인텔은 다음과 같은 취약점을 확인했습니다.
- Thunderbolt의 세 가지 버전 모두 Thunderspy 취약점의 영향을 받습니다.
- Kernel DMA Protection을 제공하는 시스템만이 Thunderspy 취약점의 전부가 아닌 일부를 완화합니다.
- 2019년 이후 배송을 시작한 시스템에만 커널 DMA 보호가 제공됩니다.
- 커널 DMA 보호 외에 인텔은 Thunderspy 취약점을 해결하기 위한 완화 조치를 제공하지 않습니다. 따라서 Intel은 Thunderspy 취약점에 CVE를 할당하거나 일반 대중에게 알리기 위해 공개 보안 권고를 발표하지 않습니다.
연구원들은 반복적인 노력에도 불구하고 시장 내 시스템에서 Thunderspy 취약점을 완화하지 않기로 한 Intel의 결정에 대한 이론적 근거는 아직 알려지지 않았다고 밝혔습니다. “그러나 Thunderspy의 특성을 고려할 때 이러한 문제를 고칠 수 없고 실리콘 재설계가 필요하다고 가정하는 것이 합리적이라고 생각합니다. 실제로 Thunderbolt 기술을 구현하는 미래의 시스템을 위해 Intel은 추가 하드웨어 보호 기능을 통합할 것이라고 밝혔습니다.”
이것의 문제는 커널 DMA 보호가 제한된 수의 최신 시스템에서만 사용할 수 있다는 것입니다. 이 문제는 2019년 이전에 출시된 모든 시스템과 커널 DMA 보호를 제공하지 않는 최신 시스템에서 더욱 심각합니다. 그것들은 영원히 Thunderspy에 완전히 취약한 상태로 남을 것입니다.
취약한 시스템
따라서 2011년에서 2020년 사이에 배송된 모든 Thunderbolt 장착 시스템은 취약합니다. 그리고 2019년부터 배송되는 커널 DMA 보호를 제공하는 일부 시스템은 부분적으로 취약합니다. Thunderspy 취약점은 소프트웨어에서 수정할 수 없습니다. 따라서 USB 4 및 Thunderbolt 4와 같은 미래 표준에 영향을 미칠 것입니다. 실리콘 재설계가 필요합니다.
예를 들어 USB-C 포트만 제공하는 시스템과 같이 모든 시스템이 영향을 받는 것은 아닙니다. 이러한 포트는 번개 기호가 아닌 USB 기호로 식별됩니다. 따라서 사용자는 영향을 받는 시스템을 참조하여 해당 시스템이 Thunderbolt 또는 USB-C 포트를 제공하는지 확인해야 합니다. 취약한 장치 및 시스템 목록과 Ruytenberg의 권장 사항은 공식 Thunderspy 웹 사이트를 확인하십시오.
해결 방법으로 사용자는 시스템이 Thunderspy에 취약한지 여부를 확인하는 이 이니셔티브에서 개발한 무료 오픈 소스 도구인 Spycheck를 사용하여 영향을 받는지 확인하는 것이 좋습니다. 시스템이 취약한 것으로 확인되면 Spycheck는 사용자에게 시스템 보호 방법에 대한 권장 사항을 안내합니다.
참조 :
https://thunderspy.io/assets/reports/breaking-thunderbolt-security-bjorn-ruytenberg-20200417.pd
StorageReview에 참여
뉴스레터 | 유튜브 | 팟캐스트 iTunes/스포티 파이 | 인스타그램 | 트위터 | 페이스북 | RSS 피드
