Cơ chế debug trên các dòng chip Intel CPU tạo lỗ hổng lý tưởng cho Hacker

587
Tấn công vật lý sẽ là trào lưu mới?

Nhiều chuyên gia đang cảnh báo rằng Intel chip debugger đang tạo lỗ hổng “to tướng” cho hacker. Vì nằm bên dưới lớp phần mềm, nên hoạt động tấn công không cách nào xác định được.

Các chuyên gia từ Positive Technologies cho biết các dòng Intel CPU mới chứa giao diện debug có thể được sử dụng, thông qua cổng USB 3.0, để giành toàn quyền kiểm soát hệ thống và thực hiện nhiều dạng tấn công mà các công cụ bảo mật hiện nay không thể phát hiện được.

Kẻ tấn công có thể lợi dụng lỗ hổng này để vượt qua mọi hệ thống bảo mật để embed nhiều đoạn code trong một khoảng thời gian nhất định, từ đó có thể đọc được mọi dữ liệu và thậm chí vô hiệu hóa hệ thống (ví dụ như viết lại BIOS chẳng hạn).

Maxim Goryachy và Mark Ermolov tại hội nghị Chaos Communication Congress lần thứ 33 (Hamburg, Đức) cũng đã chia sẻ thêm về cơ chế cần thiết cho những cuộc tấn công như thế này, cũng như cách tự bảo vệ mình. Cả hai cho biết: “Những cơ chế phần cứng được nhà sản xuất đưa vào này đều có mục đích chính đáng cả, các tính năng debug đặc biệt được sử dụng để tinh chỉnh phần cứng và nhiều tác dụng quan trọng khác. Nhưng hiện nay những cơ chế này cũng có thể bị kẻ tấn công sử dụng được. Việc thực hiện các cuộc tấn công như thế này không cần đến tài nguyên chính phủ hay thiết bị đặc biệt nào cả.”

Cả hai còn phân tích và trình diễn một trong những cơ chế này trong phần trình bày của mình.  JTAG (Joint Test Action Group) debugging interface, hiện đã tiếp cập được thông qua USB, cũng có nguy cơ trở thành “điểm nóng” cho các cuộc tấn công nguy hiểm khó xác định được. JTAG vận hành bên dưới lớp phần mềm giúp hardware debug cho OS kernel, hypervisors, và drivers. Tuy nhiên, quyền truy cập CPU này đồng thời cũng có thể bị lạm dụng vào các mục đích không được tốt đẹp cho lắm.

Đối với các dòng chip cũ hơn, việc truy cập vào JTAG yêu cầu phải kết nối một thiết bị đặc biệt vào cổng debugging trên bo mạch chủ (ITP-XDP). JTAG khi ấy rất khó tiếp cận, cho cả người muốn tu sửa máy lẫn những kẻ tấn công tiềm năng.

Tuy nhiên, kể từ họ chip Skylake từ 2015, Intel bắt đầu giới thiệu Direct Connect Interface (DCI) giúp cung cấp quyền truy cập vào giao diện debug JTAG thông qua cổng USB 3.0 thông thường.

Chỉ với DCI được kích hoạt, máy tính đã rất dễ bị tấn công mà không cần phải thao túng thêm bất cứ phần mềm hay phần cứng nào khác. Theo như những gì nghiên cứu được, việc tấn công có thể được thực hiện theo nhiều cách khác nhau; đồng thời, DCI cũng không bị block mà được kích hoặc mặc định trên nhiều hệ máy tính.

SC Media UK, trong cuộc nói chuyện với Maxim Goryachy, đã hỏi xem kẻ tấn công lừa người dùng kích hoạt giao diện DCI như thế nào. Goryachy cho biết: “Có rất nhiều cách. Kẻ tấn công có thể thay đổi cấu hình BIOS (bằng Flash programmator,…) khi họ có cơ hội tiếp cận vật lý với thiết bị trong quá trình sản xuất, lưu trữ, và sử dụng. Một số BIOS không block phần cấu hình DCI cũng là lý do khiến DCI bị kích hoạt dễ dàng như vậy.”

Goryachy và Ermolov dự đoán rằng cơ chế này trong các dòng chip Intel có thể dẫn đến một làn sóng công kích mới (tựa như Bad USB), nhưng sẽ ở cấp độ sâu hơn và thậm chí nguy hiểm hơn người tiền nhiệm của mình.

Trong phần nhận xét cuối cùng, các nhà nghiên cứu đề nghị một loạt biện pháp bảo vệ bằng cách sử dụng tính năng BootGuard của Intel và cấm kích hoạt giao diện debug.

Khi được hỏi phải só sánh lỗ hổng này với Stuxnet, Goryachy trả lời: Cơ chế này có thể được sử dụng với mọi thiết bị dùng dòng chip Intel U bất kể loại hệ điều hành. Còn Stuxnet chỉ ảnh hưởng các hệ thống Windows mà thôi. Hơn nữa, hiện nay hầu như không có hệ thống bảo mật dân dụng nào đánh hơi được.”

Goryachy nói tiếp, “Chúng tôi đã báo lại trường hợp này với Intel. Tính đến nay, chỉ có các thiết bị thuộc dòng chip xử lý Intel U là bị ảnh hưởng.”

Techtalk via scmagazine

CHIA SẺ