固件新缺陷让冷启动攻击死灰复燃 影响几乎所有现代计算机
翻译：360代码卫士团队
运行在几乎所有现代计算机上的固件都易受冷启动攻击，可导致攻击者恢复设备内存中的高度敏感信息。
冷启动攻击是一种侧信道攻击，可允许能物理访问计算机的攻击者在计算机冷启动之后从设备的随机访问内存 (RAM) 中获取加密密钥、密码和其它数据。数据可能还会继续在内存中持续存在数十秒或几分钟的时间，但通过用液氮或压缩空气冷却内存模块的方式将攻击时间窗口期延长至数小时以缓解降解过程。
冷启动攻击已存在十年的时间，设备厂商已实现多种机制，防止系统再次重启时覆写内存内容。然而，F-Secure 公司的研究人员声称发现一种方法能够利用很多现代计算机固件中的弱点让这类冷启动死灰复燃。由于该攻击方法要求物理访问目标设备，因此针对更容易被盗的笔记本电脑的攻击效率较高。
据悉，这些漏洞影响多家主流厂家的设备，如戴尔、联想和苹果。F-Secure 公司将研究结果告知公司如英特尔、苹果和微软，不过表示修复方案并不容易推出。
F-Secure 公司的安全顾问 Olle Segerdahl 和 PasiSaarinen 找到一种通过对设备硬件做出物理更改从而执行冷启动攻击的方法。控制硬件可导致攻击者禁用旨在系统重启后覆写内存的功能并将设备配置为从外雇设备启动。攻击者随后可通过一个特殊构造的 USB 驱动执行冷启动攻击。USB 驱动将包含允许攻击者将预启动内存内容转储到文件的软件。
Segerdahl 解释称，虽然缺陷并不容易找到并利用，但并非遥不可及。它们并非专注于查找简单目标的攻击者的选择，而是那些寻求钓大鱼如银行或大型企业的攻击者的选择。
在永久补丁推出之前，用户可在计算机闲置时将其配置为关闭或休眠状态而非睡眠状态，从而缓解攻击。如果用户使用的是 Windows 计算机，则需要在设备启动时将 BitLocker 配置为提示要求输入 PIN 码。虽然执行这些措施仍然会导致冷启动攻击的发生，但可确保内存中未遗留有价值的数据。
微软得到研究人员的通知后更新了 BitLocker 应对措施页面，发出缓解攻击的指南。苹果公司表示，装有 T2 芯片的 Mac 设备所包含的安全措施应该能使设备免受冷启动攻击，并建议未装 T2 芯片的用户设置固件代码。安全专家建议企业在设备丢失或被盗的情况下执行事件响应计划。Segedahl 指出，“验证访问凭证有效性的快速响应计划将导致被盗笔记本的价值减弱。IT 安全和事件响应团队应该演练这种场景并确保公司员工在设备被盗或丢失的情况下立即通知 IT 部门。针对这类攻击的规划要比假设设备无法遭黑客物理攻陷更好。”
关联阅读
原文链接
https://www.securityweek.com/new-firmware-flaws-resurrect-cold-boot-attacks
本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。