|
一個(gè)新的概念驗(yàn)證植入硬件表明了將惡意芯片隱藏在IT設(shè)備中有多容易。 一年多前，《彭博商業(yè)周刊》以一篇爆炸性的報(bào)道在網(wǎng)絡(luò)安全界炸開了鍋：蘋果和亞馬遜等大型科技公司使用的服務(wù)器中的Supermicro主板被悄悄植入了米粒大小的芯片，那樣黑客就可以潛入那些網(wǎng)絡(luò)的深處。蘋果、亞馬遜和Supermicro都強(qiáng)烈否認(rèn)了這篇報(bào)道。美國國家安全局（NSA）聲稱這是假警報(bào)。Defcon黑客大會(huì)因“最夸張的漏洞”和“最史詩般的失敗”而授予它兩項(xiàng)“安全奧斯卡獎(jiǎng)”（Pwnie Award）。并無后續(xù)報(bào)道確認(rèn)其核心前提。但是即使這篇報(bào)道的真相尚未得到證實(shí)，安全界卻警告：該報(bào)道描述的供應(yīng)鏈攻擊確有可能。畢竟，據(jù)舉報(bào)人Edward Snowden泄露的內(nèi)容顯示，NSA一直在干類似的事情?，F(xiàn)在研究人員更進(jìn)一步，演示了將難以察覺的微型間諜芯片植入到一家公司的硬件供應(yīng)鏈中到底多容易且不用花多少錢。其中一名研究人員已表明，甚至不需要國家政府撐腰的間諜機(jī)構(gòu)就能夠得逞——干勁十足的硬件黑客只要擁有合適的訪問權(quán)，加上價(jià)值區(qū)區(qū)200美元的設(shè)備，就能夠得逞。在本月晚些時(shí)候召開的CS3sthlm安全大會(huì)上，安全研究員Monta Elkins將展示他如何在地下室搞出了概念驗(yàn)證的這種硬件黑客方法。他打算向世人證明，間諜、犯罪分子或只有一點(diǎn)技能的破壞者（即使預(yù)算很少）將芯片植入到企業(yè)的IT設(shè)備中到底有多容易，從而獲得偷偷通過后門訪問供應(yīng)鏈的權(quán)限。僅僅憑借從網(wǎng)上購買的150美元的熱風(fēng)焊接工具、40美元的顯微鏡和幾塊售價(jià)2美元的芯片，Elkins就對(duì)思科防火墻做了手腳，他說這種攻擊手法不會(huì)被大多數(shù)IT管理員注意到，卻讓遠(yuǎn)程攻擊者可以獲得全面控制權(quán)。工業(yè)控制系統(tǒng)安全公司FoxGuard的“首席黑客”Elkins說：“我們認(rèn)為這種攻擊手法很神奇，但其實(shí)并不難。通過向人們展示這個(gè)硬件，我希望讓人們充分了解背后的攻擊手法。它并不神奇，更不是天方夜譚。我在地下室就能做到。很多人比我聰明，他們幾乎不用花錢就能做到?！?/span>Elkins在一塊售價(jià)2美元的Digispark Arduino板卡上發(fā)現(xiàn)有一塊ATtiny85芯片，面積約5平方毫米；談不上米粒大小，但比小指指甲小。Elkins將代碼寫到該芯片后，將其從Digispark板卡上拆下并焊接到思科ASA 5505防火墻的主板上。他焊在一個(gè)不顯眼的地方，不需要額外的布線，又讓芯片可以訪問防火墻的串行端口。下圖表明了面對(duì)復(fù)雜的防火墻板卡——即使是ASA 5505比較小的6x 7英寸尺寸，發(fā)現(xiàn)這塊芯片會(huì)有多難。Elkins表示，他本可以使用更小的芯片，但最后還是選擇了Attiny85，因?yàn)榫幊唐饋砀菀住Ｋ硎?，他還本可以更隱蔽地隱藏其惡意芯片（隱藏在防火墻板卡上的其中一個(gè)射頻屏蔽“罐”里面），但他希望能夠在CS3sthlm大會(huì)上展示該芯片的具體位置。思科ASA 5505防火墻主板的底部，紅色橢圓形表示Elkins添加的5平方毫米的芯片一旦防火墻在攻擊目標(biāo)的數(shù)據(jù)中心啟動(dòng)，Elkins就對(duì)隱藏的微型芯片進(jìn)行編程，以發(fā)動(dòng)攻擊。它冒充安全管理員，將他們的計(jì)算機(jī)直接連接到該端口，從而訪問防火墻的配置。然后芯片觸發(fā)防火墻的密碼恢復(fù)功能，創(chuàng)建一個(gè)新的管理員帳戶，并獲得對(duì)防火墻設(shè)置的訪問權(quán)。Elkins表示，他在實(shí)驗(yàn)中之所以使用思科的ASA 5505防火墻，是由于這是他在eBay上找到的最便宜的防火墻，但他說，任何一旦密碼丟失就提供這種恢復(fù)功能的思科防火墻應(yīng)該都可以。思科在一份聲明中說：“我們致力于確保透明，正在調(diào)查該研究人員的這一發(fā)現(xiàn)。如果發(fā)現(xiàn)客戶需要引起注意的新信息，我們會(huì)通過正常渠道進(jìn)行溝通?！?/span>Elkins表示，一旦惡意芯片能夠訪問那些設(shè)置，他的攻擊就可以更改防火墻的設(shè)置，從而使黑客可以遠(yuǎn)程訪問設(shè)備、禁用其安全功能，并使黑客可以訪問設(shè)備日志，該日志列出了設(shè)備看到的所有連接，這一切不會(huì)提醒管理員。Elkins說：“我基本上可以更改防火墻的配置，讓它做任何我想要它做的事情?！盓lkins表示，如果再進(jìn)行一番反向工程（reverse engineering），還可以對(duì)防火墻的固件重新編程，進(jìn)而更全面地監(jiān)視受害者的網(wǎng)絡(luò)，不過他在概念驗(yàn)證中沒有那么做。Elkins在進(jìn)行這番試驗(yàn)之前，曾嘗試極其精確地再現(xiàn)彭博社在其供應(yīng)鏈劫持場(chǎng)景中描述的那種硬件黑客攻擊。作為去年12月在混沌計(jì)算機(jī)大會(huì)（Chaos Computer Conference）上發(fā)表的研究報(bào)告的一部分，獨(dú)立安全研究員Trammell Hudson為Supermicro電路板建立了概念驗(yàn)證，試圖模仿彭博社報(bào)道中描述的黑客采用的攻擊手法。這意味著在Supermicro主板上可以訪問其基板管理控制器（BMC）的地方植入一塊芯片——BMC是允許遠(yuǎn)程管理主板的部件，讓黑客得以全面控制目標(biāo)服務(wù)器。Hudson過去在桑迪亞國立實(shí)驗(yàn)室工作，現(xiàn)在自己開有一家安全咨詢公司。他在Supermicro主板上找到了一個(gè)地方，那樣他可以把一個(gè)微型電阻器換成其自己的芯片，從而實(shí)時(shí)改動(dòng)進(jìn)出BMC的數(shù)據(jù)，這正是彭博社描述的那種攻擊。然后，他使用了所謂的現(xiàn)場(chǎng)可重編程門陣列（一種有時(shí)用于為定制芯片設(shè)計(jì)建立原型的可重編程芯片），充當(dāng)那個(gè)惡意攔截部件。Hudson的FPGA面積不到2.5平方毫米，只比Supermicro主板上它所替換的1.2平方毫米的那個(gè)電阻器大一點(diǎn)。不過他表示，在實(shí)際的概念驗(yàn)證中，他其實(shí)并沒有試圖把該芯片隱藏起來，而是用一堆連線和彈簧夾將它連接到主板上。然而，Hudson認(rèn)為，如果真正的攻擊者擁有制造定制芯片所需的財(cái)力資源（制造定制芯片可能要花費(fèi)數(shù)萬美元），可以進(jìn)行一種隱蔽得多的攻擊，制造出執(zhí)行防BMC篡改的同樣功能，但所占面積比電阻器小得多的芯片。Hudson表示，結(jié)果是這種芯片可能只有1平方毫米的百分之一大小，遠(yuǎn)小于彭博社所說的米粒大小。Hudson說：“對(duì)于想在這方面不惜花錢的對(duì)手來說，這不是困難的任務(wù)?！?/span>Supermicro在一份聲明中說：“對(duì)于一年多前的虛假報(bào)道，我們沒有必要作進(jìn)一步評(píng)論?！?/span>但Elkins指出，他那基于防火墻的攻擊遠(yuǎn)沒有那么復(fù)雜，根本不需要那種定制芯片，只需要他那塊僅售2美元的芯片。Elkins說：“別因?yàn)槟阏J(rèn)為有人需要芯片制造廠才能得逞而輕視這種攻擊。基本上，任何電子愛好者在家里都可以干成此類的事情?！?/span>Elkins和Hudson都強(qiáng)調(diào)，他們的工作并不是為了證實(shí)彭博社關(guān)于在設(shè)備中植入微型芯片對(duì)硬件供應(yīng)鏈實(shí)施廣泛攻擊的報(bào)道。他們甚至不認(rèn)為這可能是外頭的一種常見攻擊；兩位研究人員都指出，傳統(tǒng)的軟件攻擊常常讓黑客獲得同樣大的訪問權(quán)限，不過未必具有一樣的隱蔽性。但Elkins和Hudson都認(rèn)為，通過劫持供應(yīng)鏈進(jìn)行基于硬件的間諜活動(dòng)在技術(shù)上切實(shí)可行，要比世界上許多安全管理員所意識(shí)的更容易實(shí)現(xiàn)。Elkins說：“我想讓人們認(rèn)識(shí)到，芯片植入不是想象中的那樣，它們相當(dāng)簡(jiǎn)單。既然我能做到這一點(diǎn)，擁有大筆預(yù)算的人可能已經(jīng)早已經(jīng)做到了?！?/span>云頭條編譯，英文原文鏈接：https://www./story/plant-spy-chips-hardware-supermicro-cheap-proof-of-concept/
|
