早在 XNUMX 月，計算機科學與工程專業的碩士生 Björn Ruytenberg 發現並報告了一系列 Thunderbolt 安全漏洞，他的專業是信息安全。 Ruytenberg 發布了一份 Thunderbolt 漏洞報告，並將這種黑客技術命名為 Thunderspy。 Thunderspy 是破壞所有主要 Thunderbolt 安全聲明的漏洞集合。 從本質上講，Thunderbolt 允許在大多數情況下在用戶不注意的情況下監視系統。
早在 XNUMX 月，計算機科學與工程專業的碩士生 Björn Ruytenberg 發現並報告了一系列 Thunderbolt 安全漏洞，他的專業是信息安全。 Ruytenberg 發布了一份 Thunderbolt 漏洞報告，並將這種黑客技術命名為 Thunderspy。 Thunderspy 是破壞所有主要 Thunderbolt 安全聲明的漏洞集合。 從本質上講，Thunderbolt 允許在大多數情況下在用戶不注意的情況下監視系統。
根據研究，Thunderbolt 的漏洞可能允許黑客在幾分鐘內闖入計算機並訪問其數據。 Thunderspy 以具有 Thunderbolt 端口的設備為目標，影響 2019 年之前生產的任何 PC（數百萬台 PC）。 研究人員說，如果計算機有這樣的端口，即使驅動器已加密且計算機已鎖定或設置為睡眠狀態，只要對其進行短暫的物理訪問，攻擊者就可以讀取和復制所有計算機數據。
Thunderbolt 是由 Intel（與 Apple 合作）開發的專有 I/O 協議，允許將外部外圍設備連接到計算機，並實現快速數據傳輸。 該協議包含在一些筆記本電腦、台式機和其他系統中。
Ruytenberg 解釋說，由於 Thunderbolt 是一種外部互連，它允許將系統的內部 PCI Express (PCIe) 域暴露給外部設備。 “這可以實現高帶寬、低延遲的用例，例如外部顯卡。 基於 PCIe，Thunderbolt 設備擁有支持直接內存訪問的 I/O，允許完全訪問 PC 的狀態以及讀寫所有系統內存的能力”。 這種能力促使人們研究統稱為“邪惡女僕”的攻擊。 邪惡女僕攻擊是對無人值守設備的攻擊，其中具有物理訪問權限的攻擊者以某種無法檢測的方式更改設備，以便他們以後可以訪問設備或設備上的數據。
“Thunderspy 是隱身的，這意味著你找不到任何攻擊痕跡。 它不需要你的參與。” 魯騰伯格說。 “即使您在短暫離開時通過鎖定或暫停計算機來遵循最佳安全實踐，Thunderspy 也能正常工作。 如果您的系統管理員已經為設備設置了安全啟動、強大的 BIOS 和操作系統帳戶密碼，並啟用了全盤加密。” 此漏洞意味著攻擊者只需花幾分鐘時間單獨使用計算機即可獲得訪問權限並破壞數據。
在這項研究中，研究人員發現並通過實驗證實了多個與 Thunderbolt 協議安全相關的漏洞。 研究人員披露了以下漏洞：
- 固件驗證方案不足。
- 弱設備認證方案。
- 使用未經驗證的設備元數據。
- 向後兼容性。
- 使用未經驗證的控制器配置。
- SPI flash接口的不足。
- Boot Camp 上沒有 Thunderbolt 安全性。
在上傳到 YouTube 的視頻（Thunderspy PoC 演示 1：5 分鐘內解鎖 Windows PC）中，研究展示了利用 Thunderspy 漏洞變體 5 進行的攻擊：使用未經身份驗證的控制器配置。
https://www.youtube.com/watch?v=7uvSZA1F9os&feature=emb_logo
英特爾已確認以下漏洞：
- Thunderbolt 的所有三個版本都受到 Thunderspy 漏洞的影響。
- 只有提供內核 DMA 保護的系統才能緩解部分（而非全部）Thunderspy 漏洞。
- 只有自 2019 年開始出貨的系統才帶有內核 DMA 保護。
- 除了內核 DMA 保護之外，英特爾不會提供任何緩解措施來解決 Thunderspy 漏洞。 因此，英特爾不會將任何 CVE 分配給 Thunderspy 漏洞，也不會發布任何公共安全建議以告知公眾。
研究人員表示，儘管他們一再努力，但英特爾決定不緩解市場系統上的 Thunderspy 漏洞的理由仍然未知。 “然而，鑑於 Thunderspy 的性質，我們認為假設這些無法修復並且需要重新設計芯片是合理的。 事實上，對於未來採用 Thunderbolt 技術的系統，英特爾已經表示他們將加入額外的硬件保護。”
問題是內核 DMA 保護僅在有限數量的現代系統上可用。 對於 2019 年之前發布的所有系統和未提供內核 DMA 保護的現代系統，這個問題甚至更嚴重。 這些將永遠完全容易受到 Thunderspy 的攻擊。
易受攻擊的系統
因此，2011-2020 年間出貨的所有配備 Thunderbolt 的系統都容易受到攻擊。 自 2019 年開始發貨的一些提供內核 DMA 保護的系統存在部分漏洞。 Thunderspy 漏洞無法在軟件中修復； 因此，它們將影響未來的標準，例如 USB 4 和 Thunderbolt 4。它們需要重新設計芯片。
並非所有系統都會受到影響，例如，專門提供 USB-C 端口的系統。 這些端口由 USB 符號標識，而不是閃電符號。 因此，用戶應參考受影響的系統來驗證他們的系統是否提供 Thunderbolt 或 USB-C 端口。 如需易受攻擊的設備和系統列表以及 Ruytenberg 的建議，請查看 Thunderspy 官方網站。
作為解決方法，強烈建議用戶使用 Spycheck 確定他們是否受到影響，Spycheck 是該計劃開發的免費開源工具，可驗證系統是否易受 Thunderspy 攻擊。 如果發現系統易受攻擊，Spycheck 將指導用戶獲得有關如何幫助保護其係統的建議。
參考：
https://thunderspy.io/assets/reports/breaking-thunderbolt-security-bjorn-ruytenberg-20200417.pd
參與 StorageReview
電子報 | YouTube | 播客 iTunes/Spotify | Instagram | Twitter | Facebook | RSS訂閱
