[English]Sicherheitsforscher haben gerade mehrere Schwachstellen im Thunderbolt 3-Anschluss offen gelegt, über die sich Geräte ausspionieren lassen. Gleichzeitig haben sie Tools veröffentlicht, über die sich unter Linux und Windows prüfen lässt, ob Geräte über Thunderspy ausgekundschaftet werden können.
Anzeige
Es ist schon ein Witz: Die Tage hatte ich noch im Blog-Beitrag Sicherheit: Darum hat das Surface PC kein Thunderbolt über ein Gerücht berichtet, das Microsoft seinen Surface-Geräten aus Sicherheitsgründen keinen Thunderbolt-Anschluss spendiert. Nun bin ich über nachfolgenden Tweet auf existierende Schwachstellen aufmerksam geworden.
New Thunderbolt vulnerability disclosed tonighthttps://t.co/XKkbMEYz5r pic.twitter.com/3hg8zrjhsc
— Catalin Cimpanu (@campuscodi) May 11, 2020
Auf der Webseite thunderspy.io berichtet Björn Ruytenberg über von ihm gefundene Schwachstellen im Thunderbolt 3-Anschluss. Der Sicherheitsforscher ist auf 7 Schwachstellen im Design von Intel gestoßen, die die Sicherheit von Geräten mit Thunderbolt-Anschluss gefährden. Er hat 9 realistische Szenarien gefunden, die ausgenutzt werden könnten, um Zugang zu einem System zu erhalten, egal, ob dort Abwehrmechanismen vorhanden sind, die Intel zum Schutz der Thunderbolt-Schnittstelle eingerichtet hat.
Proof of Concept
Der Sicherheitforscher und sein Team von der Eindhoven University of Technology hat ein kostenloses und quelloffenes Tool, Spycheck, entwickelt. Mit diesem Tool lässt sich feststellen, ob ein System verwundbar ist. Stellt sich heraus, dass ein System anfällig ist, liefert Spycheck Empfehlungen, wie man das System schützen kann.
(Quelle: YouTube)
Anzeige
Obiges Video auf Youtube zeigt die Anwendung des Proof of Concept (PoC) sowie Details bei einem konkreten Gerät. Ein Lenovo-Notebook mit Thunderbolt-Anschluss wird dazu aufgeschraubt und mit einer speziellen Hardware (Thunderbolt Controller Firmware Patcher) kontaktiert. Dann kann auf das gesperrte Notebook zugegriffen werden.
Zugriff auf alle Daten
Thunderspy zielt auf Geräte mit einem Thunderbolt-Anschluss. Wenn ein Computer über einen solchen Anschluss verfügt, kann ein Angreifer, der kurzzeitig physischen Zugriff darauf erhält, alle Daten dieses Systems lesen und kopieren, selbst wenn die Laufwerke auf dem System verschlüsselt und der Computer gesperrt oder in den Ruhezustand versetzt ist.
Thunderspy ist Stealth, d.h. Nutzer finden später keine Spuren des Angriffs. Es erfordert auch keine Beteiligung des Nutzers, um den Angriff durchzuführen. Das heißt, es sind keine Phishing-Links oder bösartige Hardware erforderlich, um den Angriff auszuführen. Der Zugang zum System genügt. Selbst ein gesperrtes oder in den Ruhezustand versetztes System, samt Secure Boot und starken BIOS- und Betriebssystemkontopasswörtern sowie eine vollständige Festplattenverschlüsselung bieten keinen Schutz gegen einen Datenklau. Alles, was der Angreifer braucht, so die Sicherheitsforscher, sind 5 Minuten allein mit dem Computer, einem Schraubenzieher und ein wenig Hardware.
Details und Gegenmaßnahmen
Auf seiner eigens aufgesetzten Webseite legt Ruythenberg weitere Informationen zu diesen Schwachstellen offen. Das Ganze wirkt sich auf Thunderbolt-Anschlüsse aus, die zwischen 2011 und 2020 von diversen Herstellern (auch Apple) ausgeliefert wurden. Auf der Webseite gibt es auch Testtools für Linux und Windows zum Überprüfen der Systeme, ob diese durch die Schwachstellen betroffen sind.
Wer betroffen ist, kann sich nur dagegen schützen, dass das Gerät ständig unter eigener Kontrolle ist, immer komplett heruntergefahren wird (so dass die Absicherung über Secure Boot mit Kennwörtern funktioniert) und ggf. der Thunderbolt-Controller deaktiviert wird. Das geht aus den auf der Webseite veröffentlichten Informationen hervor. Auch der in Windows 10 integrierte Kernel DMA Protection-Schutz hilft oft nicht, da die Modifikationen im UEFI laut diesem heise-Artikel (bzw. diesem Wired-Beitrag) in den meisten Systemen nicht implementiert sind.
Intel reagiert schleppend
Er hat Intel über fünf Schwachstellen bereits am 10. März 2020 informiert. Später wurde eine sechste Schwachstelle an Intel gemeldet, Intel hat am 17. März bestätigt, dass es eine Schwachstelle sei.
In der ersten E-Mail bat Ruythenberg Intel, die betroffenen Parteien in Abstimmung mit ihm umgehend zu benachrichtigen. Intel ergriff jedoch keine Maßnahmen und listete schließlich, nach mehreren E-Mails , nur 5 Parteien, die sie informieren würden, auf. Der Sicherheitsforscher fasste nach und schickte Intel dann eine Liste mit anderen Parteien, die er als betroffen identifiziert hatte. Darunter ware 11 OEMs/ODMs und das Linux-Kernel-Sicherheitsteam. Schließlich teilte Intel mit, dass sie am 25. März einige Parteien über die Schwachstellen und die bevorstehende Offenlegung informiert hätten. Intel verschwieg aber Details, was an Informationen an wen herausgegeben wurde. Einige Hersteller waren offenbar immer noch nicht durch Intel informiert worden. Schließlich informierte der Sicherheitsforscher Apple am 17. April über die siebte Schwachstelle.
Anzeige
Ja was soll ich sagen wer den Rechner besitzt ist am längerem Hebel.
UND DAS IST AUCH GUT SO!!!
Der hätte auch ein RAM freez Attacke machen können.
Oder das Keyboard abklemmen und ein Chip dazwischen der alle eingaben mitschneidet.
Oder Oder oder….
Zuguterletzt ist das ganze maximal Witz los bei einem stand PC kann man einfach auf der Seite aufmachen und eine "feindliche" PCIe Karte rein stöpseln, zumindest die besseren und Server Boards können ja inzwischen sogar hotplug.
Tatsache ist einfach ein PC mit vertraulichen Daten hat nicht aus den Augen gelassen zu werden, Basta!
Alles andere ist Snakeoil, spätestens die an das Keyboard analog angeklemmte Wanze die jeden tasten Anschlag überträgt ist unvermeidbar.
Ja ok, dann kommt ein Dual Screen Surface ohne Tastatur dann muss man halt den i2c buss des Touch Controllers anzapfen. Sofern man da analog nicht weiter kommt.
Dann kommt die i2c Verschlüsselung aus Sicherheitsgründen und man kann dann nicht mehr ohne Signatur vom MSFT mehr den angeknacksten Digitizer mehr selber tauschen, ist dann wie bei Apple.
Display zerbrochen == fast wirtschaftlicher Totalschaden.
Mir geht diese "Hardware Sicherheit" langsam so dermaßen gegen den Senkel, da fehlen mir anständige Worte um das auszudrücken was ich davon halte.
Wer so ein wichtiges Ziel ist das Leute ihm mit physischem zugriff die Elektronik verwanzen, soll spezielle nicht unreparierbare, mit Epoxidharz ausgegossene Geräte benutzen die den 10 fachen Marktpreis von normaler Hardware kosten.
Anstelle darauf zu drängen normale Consummer Elektronik durch vorgeschobene Sicherheitsgründe zu unreparierbaren von Konzernen kontrollierten DRM misst boxen zu verunstalten.
Ich will reparierbare Elektronik an der ich auch in der Firmware herum patchen kann soviel ich lustig bin, kein verßch!sener secure boot das nut MSFT keys kennt oder ähnlichen dreck.
Ordentliche HDD Verschlüsselung ist, in Software weil Hardware darf man nicht trauen, alles was man braucht. Bei normalen Menschen werden keine Evil Made Attacken gemacht.
> …
> Mir geht diese "Hardware Sicherheit" langsam so dermaßen gegen den
> Senkel, da fehlen mir anständige Worte um das auszudrücken was ich
> davon halte.
> …
> …weil Hardware darf man nicht trauen…
> …
!!!
Ja genau, wen man Hardware prinzipiell misstraut sollte man zumindest nicht zulassen das einem die Hersteller obendrein noch aussperren.
Ideal Beispiel Android.
Lieber einen sperangel weit offenen bootloader + anständiges passwort als ein zugenageltes gerät.
Man muss halt daran denken das gerät nicht aus der Hand zu geben, und wen doch dan danach nochmal alles neu Flaschen anstelle das PW einzuckloppen.
1) Reichlich wirres Zeug was ich da lese. Das sind bestenfalls Gedankenschnipsel.
2) Was sie wollen dürfte Millionen von Firmen egal sein.
Der Artikel macht klar:
Ein Angreifer braucht ein entsprechend präpariertes Gerät nur unbemerkt in eine Firma anschließen und kommt so an Firmengehimnisse heran, oder kann einen PC dauerhaft zu seinem machen.
>PC kann man einfach auf der Seite aufmachen und eine "feindliche" PCIe Karte rein stöpseln
Und das machen sie so schnell wie ein Thunderbolt-Gerät anzuschließen?
Will ich mal sehen wie sie einen PC einfach so bei einer Firmenbesichtigung aufschrauben.
Haben sie sich das video angeschaut?
Zuerst müssen die den laptop aufschrauben und den thunderbolt controller eine neue firmware hinten reinschieben.
Was ich will mag firmen egal sein deswegen muss man die "awarenes risen" wie das die anglophonen so gerne sagen sprich dafür sorgen das so viele sleute das auch so sehen das die firmen das nciht mehr länger ignorieren können.
Okay mein Fehler, dachte es wäre so einfach wie bei einem altmodischen Firewire DMA-Angriff, woran das zuerst erinnert hat.
Asche auf mein Haupt! Ich habe nicht gelesen…
Aber gut, wenn eine Lücke schon einen Namen und eine Webseite hat kann man fast schon davon ausgehen es ist nur wieder einer dieser Sicherheitsforscher die Aufmerksamkeit wollen.
(Dennoch dürften sich TSA und Geheimdienste an US-Flughäfen jetzt die Hände reiben. Durchsuchung war/ist ja dort bei Ein-/Ausreise legal.)
Ja die TSA kann die Gelegenheit nutzen um das gerät zu schwächen.
Aber da müsstest du schon ein besonders interessantes Exemplar sein weil um dann was davon zu haben müssen sie später nochmal mit dem Thunderbolt Kabel kommen wähnend was interessantes am Lapi drauf ist.
Durch die US Zoll Kontrolle reist man ja immer nur mit frisch gelöschtem System.