Thunderbolt的漏洞给黑客大开方便之门

更多全球网络安全资讯尽在E安全官网www.easyaq.com

小编来报：Thunderbolt（雷电接口）外围设备和充电接口存在一系列漏洞，攻击者可以利用这些漏洞完全控制电脑。

据外媒报道，安全研究人员发现，英特尔和苹果开发的Thunderbolt（雷电接口）外围设备和充电接口存在一系列漏洞，攻击者可以利用这些漏洞完全控制电脑。

来自剑桥大学、莱斯大学和斯坦福国际研究院的研究人员指出，Thunderbolt通过笔记本电脑上的USB-C端口被使用，与普通通用串行总线外围设备相比，它提供了更高权限级别的低级别DMA。

研究人员发现，黑客可以使用支持DMA的恶意外围设备，对拥有Thunderbolt输入/输出端口和PCI-Express连接器的笔记本电脑、台式机和服务器进行攻击。

如果主机没有防御措施，攻击者可以不受限制地进行内存访问，并且可以完全控制目标计算机。他们可以盗取密码、银行登录信息、加密密钥、浏览器会话和私人文件，也可以在系统中注入恶意软件。

研究人员表示，通过Thunderbolt 3端口的电源、视频和外围设备DMA的结合，为恶意充电站提供了帮助，设备能正常运行但显示被黑客控制。

IOMMU可防御上述攻击，它允许设备只访问完成工作所需的内存。然而，使IOMMU能够抵御DMA攻击需要付出很高的性能代价。大多数操作系统为了提高性能而牺牲安全性，默认情况下禁用IOMMU。

为了查明IOMMU能否使用以及如何工作，研究人员构建了一个名为Thunderclap的开源FPGA平台。

他们发现，Windows 7和Windows8以及Windows 10 Home和Pro根本不支持IOMMU。Windows 10企业版可以使用IOMMU，但方式有限，这使得大多数系统都很脆弱。

研究人员从2016年开始与供应商合作，帮助减轻这些漏洞，微软在Windows 10 1803版本及以后的版本中引入了针对Thunderbolt 3的内核DMA保护。这使得IOMMU可以用于Thunderbolt外围设备，但不能用于PCIe设备。不过，它需要固件支持，这意味着在Windows 10 1803发布之前的旧笔记本电脑仍然很脆弱。

苹果的macOS也有IOMMU，但即使启用了硬件防御，研究人员也能够使用假网卡读取数据流量，而这些数据流量本应无法离开这台机器。这款网卡还可以在macOS上运行系统管理员级别的程序，还可以读取其他mac电脑上的显示内容，以及USB键盘按键。

开源FreeBSD和Linux支持IOMMU，但在许多发行版中默认不支持IOMMU。研究人员说，与macOS一样，使用伪造的网卡，可以在FreeBSD和Linux上以高权限级别运行代码，并读取数据流量。

此外，在Linux上，伪造的网卡可以访问内核数据结构，在研究人员构建的恶意设备发送的消息中设置几个选项字段，就可以完全绕过IOMMU。

英特尔已经为Linux内核5.0提交了补丁，以支持用于Thunderbolt外围设备的IOMMU，并禁用一项允许研究人员绕过硬件防御的功能。

研究人员发现的漏洞非常严重，以至于一家大型笔记本电脑供应商表示，在将Thunderbolt接口添加到新产品线之前，要对这些漏洞进行更详细的研究。

研究人员建议，除了为操作系统安装安全更新之外，担心该威胁的用户可以禁用他们机器上的Thunderbolt端口。PC用户可在在BIOS/UEFI固件设置中禁用Thunderbolt，同时为USB-C端口保留电源、视频和USB功能。用户不要把电脑放在无人看管的地方，并避免使用USB-C充电站。即使是看似无害的充电器和投影仪等设备，在连接到电脑的Thunderbolt端口也仍需注意。

注：本文由E安全编译报道,转载请注明原文地址

https://www.easyaq.com

推荐阅读：

▼点击“阅读原文” 查看更多精彩内容

喜欢记得打赏小E哦！