`

СПЕЦИАЛЬНЫЕ
ПАРТНЕРЫ
ПРОЕКТА

Архив номеров

Best CIO

Определение наиболее профессиональных ИТ-управленцев, лидеров и экспертов в своих отраслях

Человек года

Кто внес наибольший вклад в развитие украинского ИТ-рынка.

Продукт года

Награды «Продукт года» еженедельника «Компьютерное обозрение» за наиболее выдающиеся ИТ-товары

 

Атаки DMA преодолевают аппаратную защиту корпоративных ПК

+33
голоса

Атаки DMA преодолевают аппаратную защиту корпоративных ПК

Исследователи из фирмы Eclypsium, выпускающей безопасное микропрограммное обеспечение, сообщили, что им удалось провести успешные атаки Direct Memory Access (DMA) с обходом встроенных систем защиты, таких как UEFI Secure Boot, Intel Boot Guard, HP Sure Start и Microsoft Virtualization-Based Security.

DMA-атаки позволяют злоумышленникам осуществлять напрямую, без участия центрального процессора и ОС компьютера, операции чтения и записи системной памяти. Благодаря этому преступники могут получать контроль над функциями ядра и делать все, что им нужно посредством так называемых атак Memory Lane.

По словам Джесси Майкла (Jesse Michael), главного исследователя Eclypsium, для этих атак требуется физический доступ к взламываемому лэптопу, десктопу, серверу либо к сетевым адаптерам или устройствам FireWire, подключаемым через порты PCIe.

В своих экспериментах, эксперты Eclypsium использовали лэптопы Dell XPS 13 7390 и HP ProBook 640 G4, а также программу PCILeech, которую разработал хакер Ульф Фриск (Ulf Frisk) для демонстрации DMA-атак. Их задачей было показать, что многие устройства с интегрированными средствами аппаратной безопасности всё ещё остаются уязвимыми к DMA-атаками.

В конфигурации BIOS ноутбука Dell они добились этого, выставив по умолчанию разрешать Thunderbolt и PCIe для модулей предзагрузки TBT. Лэптоп HP пришлось подвергнуть частичной разборке, и заменить беспроводной адаптер M.2 на FPGA-платформу прототипирования Xilinx SP605. Благодаря этому удалось изменить содержимое оперативной памяти в процессе загрузки и запустить исполнение произвольного кода в обход проверки целостности BIOS средствами HP Sure Start.

Для блокирования таких атак, по сведениями Eclypsium, необходимо, чтобы и прошивка безопасной загрузки UEFI, и ОС поддерживали аппаратную защиту DMA с помощью IOMMU (VT-d). В противном случае нормальное функционирование системы будет нарушено неправильной блокировкой операций DMA.

Референсный код UEFI с поддержкой firmware для защиты от DMA-атак вышел в 2017 г., а первые устройства с ним появились в 2019 г. Со стороны ОС Microsoft устранила эту уязвимость весной 2018 г. с выходом Windows 10 1803, оставляющей включённой защиту DMA во время загрузки.

HP выпустила обновленную версию BIOS с защитой от атак «с разборкой» 20 января 2020 г. Dell разослала соответствующее оповещение владельцам уязвимых ПК и подтвердила, что во всех остальных её платформах с поддержкой Thunderbolt, эта опция отключена по умолчанию.


Вы можете подписаться на наш Telegram-канал для получения наиболее интересной информации

+33
голоса

Напечатать Отправить другу

Читайте также

Не все так однозначно! :)

В типовом случае IOMMU включается операционной системой либо гипервизором виртуализации. Если предлагается включить IOMMU при инициализации платформы процедурами UEFI, то для этого понадобится функциональность, реализуемая специальной прошивкой. Такой шаг может негативно повлиять на производительность и совместимость (могут быть проблемы с запуском гипервизоров виртуализации не Microsoft, например Oracle), хотя защищенность теоретически может возрасти.

 
 
Реклама

  •  Home  •  Рынок  •  ИТ-директор  •  CloudComputing  •  Hard  •  Soft  •  Сети  •  Безопасность  •  Наука  •  IoT