En février dernier, une série de failles de sécurité Thunderbolt ont été découvertes et signalées par Björn Ruytenberg, étudiant à la maîtrise en informatique et ingénierie spécialisé dans la sécurité de l'information. Ruytenberg, a publié un rapport de vulnérabilité Thunderbolt et a nommé cette technique de piratage Thunderspy. Thunderspy est une collection de vulnérabilités qui rompt toutes les revendications de sécurité principales de Thunderbolt. Thunderbolt permet essentiellement d'espionner les systèmes, dans la plupart des cas, sans que les utilisateurs ne s'en aperçoivent.
Selon la recherche, les vulnérabilités de Thunderbolt pourraient permettre à un pirate de s'introduire dans un ordinateur et d'accéder à ses données en quelques minutes. Thunderspy cible les appareils dotés d'un port Thunderbolt et affecte tous les PC fabriqués avant 2019 (des millions de PC). Si les ordinateurs disposent d'un tel port, un attaquant qui y accède physiquement brièvement peut lire et copier toutes les données de l'ordinateur, même si le lecteur est crypté et que l'ordinateur est verrouillé ou mis en veille, a déclaré le chercheur.
Thunderbolt est un protocole d'E/S propriétaire développé par Intel (en collaboration avec Apple) qui permet la connexion de périphériques externes à un ordinateur et qui permet des transferts de données rapides. Le protocole est inclus dans plusieurs ordinateurs portables, ordinateurs de bureau et autres systèmes.
Ruytenberg explique que Thunderbolt étant une interconnexion externe, il permet d'exposer le domaine PCI Express (PCIe) interne du système à des périphériques externes. « Cela permet des cas d'utilisation à bande passante élevée et à faible latence, tels que les cartes graphiques externes. Étant basés sur PCIe, les périphériques Thunderbolt possèdent des E/S compatibles avec l'accès direct à la mémoire, permettant un accès complet à l'état d'un PC et la possibilité de lire et d'écrire dans toute la mémoire système ». Cette capacité a incité la recherche sur les attaques collectivement connues sous le nom de "mauvaise fille". Une attaque de fille maléfique est une attaque contre un appareil sans surveillance, dans laquelle un attaquant ayant un accès physique le modifie de manière indétectable afin de pouvoir accéder ultérieurement à l'appareil ou aux données qu'il contient.
"Thunderspy est furtif, ce qui signifie que vous ne pouvez trouver aucune trace de l'attaque. Cela ne nécessite pas votre implication. dit Ruytenberg. « Thunderspy fonctionne même si vous suivez les meilleures pratiques de sécurité en verrouillant ou en suspendant votre ordinateur lorsque vous partez brièvement. Et si votre administrateur système a configuré l'appareil avec un démarrage sécurisé, des mots de passe forts pour le BIOS et le compte du système d'exploitation, et a activé le chiffrement intégral du disque. Cette vulnérabilité signifie qu'un attaquant n'a besoin que de quelques minutes seul avec l'ordinateur pour accéder et compromettre les données.
Dans l'étude, les chercheurs ont découvert et confirmé expérimentalement plusieurs vulnérabilités liées à la sécurité du protocole Thunderbolt. Les chercheurs ont révélé les vulnérabilités suivantes :
- Schémas de vérification du micrologiciel inadéquats.
- Schéma d'authentification de périphérique faible.
- Utilisation de métadonnées de périphérique non authentifiées.
- Rétrocompatibilité.
- Utilisation de configurations de contrôleur non authentifiées.
- Déficiences de l'interface flash SPI.
- Pas de sécurité Thunderbolt sur Boot Camp.
Dans une vidéo téléchargée sur YouTube (Thunderspy PoC demo 1 : Unlocking Windows PC in 5 minutes), les recherches démontrent une attaque exploitant la variante 5 de la vulnérabilité Thunderspy : Utilisation de configurations de contrôleur non authentifiées.
https://www.youtube.com/watch?v=7uvSZA1F9os&feature=emb_logo
Intel a confirmé les vulnérabilités suivantes :
- Les trois versions de Thunderbolt sont affectées par les vulnérabilités de Thunderspy.
- Seuls les systèmes fournissant Kernel DMA Protection atténuent certaines des vulnérabilités de Thunderspy, pas toutes.
- Seuls les systèmes qui ont commencé à être expédiés depuis 2019 sont livrés avec Kernel DMA Protection.
- Au-delà de la protection DMA du noyau, Intel ne fournira aucune atténuation pour remédier aux vulnérabilités de Thunderspy. Par conséquent, Intel n'attribuera aucun CVE aux vulnérabilités de Thunderspy, ni ne publiera d'avis de sécurité publique pour informer le grand public.
Les chercheurs ont déclaré que malgré leurs efforts répétés, la justification de la décision d'Intel de ne pas atténuer les vulnérabilités de Thunderspy sur les systèmes du marché reste inconnue. "Compte tenu de la nature de Thunderspy, cependant, nous pensons qu'il serait raisonnable de supposer que ceux-ci ne peuvent pas être corrigés et nécessitent une refonte du silicium. En effet, pour les futurs systèmes mettant en œuvre la technologie Thunderbolt, Intel a déclaré qu'ils intégreraient des protections matérielles supplémentaires.
Le problème est que Kernel DMA Protection n'est disponible que sur un nombre limité de systèmes modernes. Ce problème est encore pire pour tous les systèmes publiés avant 2019 et les systèmes modernes qui ne fournissent pas la protection DMA du noyau. Ceux-ci resteront entièrement vulnérables à Thunderspy pour toujours.
Systèmes vulnérables
Ainsi, tous les systèmes équipés de Thunderbolt expédiés entre 2011 et 2020 sont vulnérables. Et certains systèmes fournissant la protection Kernel DMA, disponible depuis 2019, sont partiellement vulnérables. Les vulnérabilités de Thunderspy ne peuvent pas être corrigées dans le logiciel ; par conséquent, ils auront un impact sur les futures normes telles que USB 4 et Thunderbolt 4. Ils nécessitent une refonte du silicium.
Tous les systèmes ne sont pas concernés, par exemple, les systèmes fournissant exclusivement des ports USB-C. Ces ports sont identifiés par un symbole USB, plutôt qu'un symbole d'éclair. Par conséquent, les utilisateurs doivent se référer aux systèmes concernés pour vérifier si leur système fournit des ports Thunderbolt ou USB-C. Pour la liste des appareils et systèmes vulnérables et les recommandations de Ruytenberg, consultez le site Web officiel de Thunderspy.
Pour contourner ce problème, les utilisateurs sont fortement encouragés à déterminer s'ils sont concernés à l'aide de Spycheck, un outil gratuit et open source développé par cette initiative qui vérifie si les systèmes sont vulnérables à Thunderspy. Si un système s'avère vulnérable, Spycheck guidera les utilisateurs vers des recommandations sur la façon d'aider à protéger leur système.
Référence:
https://thunderspy.io/assets/reports/breaking-thunderbolt-security-bjorn-ruytenberg-20200417.pd
Amazon