COVID-bit: det trådløse spyware-trick med et uheldigt navn

Hvis du er en almindelig Naked Security-læser, kan du sikkert gætte, hvor på kloden vi er på vej hen i denne virtuelle rejse...

…vi er endnu en gang afsted til afdelingen for software- og informationssystemteknologi på Ben-Gurion University of the Negev i Israel.

Forskere i afdelingens Cyber-Security Research Center undersøger løbende sikkerhedsspørgsmål relateret til såkaldte luftgappet netværk.

Som navnet antyder, er et luftgapnet netværk bevidst afbrudt, ikke kun fra internettet, men også fra andre netværk, selv dem i samme facilitet.

For at skabe et sikkert databehandlingsområde med høj sikkerhed (eller mere præcist et hvilket som helst område med højere sikkerhed end sine naboer, hvor data ikke nemt kan komme ud), er ingen fysiske ledninger forbundet fra det luftgappede netværk til noget andet netværk .

Derudover er al trådløs kommunikationshardware typisk deaktiveret (og ideelt fjernet fysisk, hvis det er muligt, eller permanent afbrudt ved at skære ledninger eller printkortspor, hvis ikke).

Ideen er at skabe et miljø, hvor selv om angribere eller utilfredse insidere formåede at injicere ondsindet kode såsom spyware ind systemet, ville de ikke finde det nemt eller endda muligt at få deres stjålne data tilbage ud igen.

Det er sværere end det lyder

Desværre er det sværere at skabe et brugbart luftgapnet netværk uden udadgående "datasmuthuller", end det lyder, og forskere fra Ben-Gurion University har tidligere beskrevet adskillige levedygtige tricks, sammen med hvordan du kan afbøde dem.

Vi har, ganske vist med en blanding af fascination og glæde, skrevet om deres arbejde ved mange lejligheder før, herunder skøre tricks som f.eks. GAIROSKOP (at forvandle en mobiltelefons kompaschip til en rå mikrofon), LANTENNE (ved brug af fastkablede netværkskabler som radioantenner) og FANSMITTER (varierende CPU-blæserhastighed ved at ændre systembelastning for at skabe en lyd-"datakanal").

Denne gang har forskerne givet deres nye trick det uheldige og måske unødvendigt forvirrende navn COVID-bitHvor COV er udtrykkeligt angivet som stående for "skjult", og det må vi gætte på ID-bit står for noget som "informationsdisclosure, bit-by-bit".

Dette dataeksfiltreringsskema bruger en computers egen strømforsyning som en kilde til uautoriserede, men alligevel detekterbare og afkodbare radiotransmissioner.

Forskerne hævder hemmelige datatransmissionshastigheder på op til 1000 bits/sek. (hvilket var en perfekt anvendelig og brugbar modemhastighed for opkald for 40 år siden).

De hævder også, at de lækkede data kan modtages af en umodificeret og uskyldigt udseende mobiltelefon – selv en med al sin egen trådløse hardware slukket – op til 2 meter væk.

Det betyder, at medskyldige uden for et sikkert laboratorium muligvis kan bruge dette trick til at modtage stjålne data på en mistænkelig måde, forudsat at laboratoriets vægge ikke er tilstrækkeligt godt beskyttet mod radiolækage.

Så her er hvordan COVID-bit fungerer.

Strømstyring som datakanal

Moderne CPU'er varierer typisk deres driftsspænding og frekvens for at tilpasse sig skiftende belastning, hvilket reducerer strømforbruget og hjælper med at forhindre overophedning.

Faktisk styrer nogle bærbare computere CPU-temperaturen uden at have brug for blæsere ved bevidst at bremse processoren, hvis den begynder at blive for varm, ved at justere både frekvens og spænding for at skære ned på spildvarmen på bekostning af lavere ydeevne. (Hvis du nogensinde har undret dig over, hvorfor dine nye Linux-kerner ser ud til at bygge hurtigere om vinteren, er det måske derfor.)

De kan gøre dette takket være en pæn elektronisk enhed kendt som en SMPS, en forkortelse for switched-mode strømforsyning.

SMPS'er bruger ikke transformere og variable modstande til at variere deres udgangsspænding, som gammeldags, omfangsrige, ineffektive, travle strømadaptere gjorde i gamle dage.

I stedet tager de en konstant indgangsspænding og konverterer den til en pæn DC-firkantbølge ved at bruge en hurtigskiftende transistor til at slå spændingen helt til og fra, alt fra hundredtusindvis til millioner af gange i sekundet.

Temmelig simple elektriske komponenter forvandler derefter dette ophuggede DC-signal til en konstant spænding, der er proportional med forholdet mellem, hvor længe "on"-trinene og "off"-trinene er i den rent skiftede firkantbølge.

Forestil dig løst sagt en 12V DC-indgang, der er tændt fuldt ud i 1/500,000 af et sekund og derefter helt slukket i 1/250,000-dele af et sekund, igen og igen, så den er på 12V i 1/3 af tiden og ved 0V for 2/3 af det. Forestil dig så, at denne elektriske firkantbølge bliver "udjævnet" af en induktor, en diode og en kondensator til en kontinuerlig DC-udgang på 1/3 af spidsindgangsniveauet, og dermed producerer et næsten perfekt stabilt output på 4V.

Som du kan forestille dig, involverer denne omskiftning og udjævning hurtige ændringer af strøm og spænding inde i SMPS, hvilket igen skaber beskedne elektromagnetiske felter (simpelt sagt, radiobølger), der lækker ud via metallederne i selve enheden, såsom printkortlederspor og kobberledninger.

Og hvor der er elektromagnetisk lækage, kan du være sikker på, at Ben-Gurion Universitetets forskere vil lede efter måder at bruge det som en mulig hemmelig signalmekanisme.

Men hvordan kan du bruge radiostøjen fra en SMPS, der skifter millioner af gange i sekundet til at formidle andet end støj?

Skift omskiftningshastigheden

Tricket, ifølge a indberette skrevet af forskeren Mordechai Guri, er at variere belastningen på CPU'en pludseligt og dramatisk, men med en meget lavere frekvens, ved bevidst at ændre koden, der kører på hver CPU-kerne mellem 5000 og 8000 gange i sekundet.

Ved at skabe et systematisk mønster af ændringer i processorbelastning ved disse forholdsvis lave frekvenser...

…Guri var i stand til at narre SMPS'erne skifter dens højfrekvente koblingshastigheder på en sådan måde, at den genererede lavfrekvente radiomønstre, som pålideligt kunne detekteres og afkodes.

Endnu bedre, i betragtning af at hans bevidst genererede elektromagnetiske "pseudo-støj" dukkede op mellem 0Hz og 60kHz, viste det sig at være godt tilpasset samplingsevnerne for den gennemsnitlige bærbare eller mobiltelefons lydchip, der bruges til digitalisering af stemme og afspilning musik.

(Udtrykket lydchip ovenstående er ikke en tastefejl, selvom vi taler om radiobølger, som du snart vil se.)

Det menneskelige øre kan, som det sker, høre frekvenser op til omkring 20 kHz, og du skal producere output eller optage input med mindst det dobbelte af den hastighed for at detektere lydsvingninger pålideligt og dermed gengive høje frekvenser som levedygtige lydbølger snarere bare pigge eller "lige linjer" i DC-stil.

CD-samplinghastigheder (cd'er, hvis du husker dem) blev indstillet til 44,100 Hz af denne grund, og DAT (digitalt lydbånd) fulgte kort efter, baseret på en lignende-men-lidt-forskellig hastighed på 48,000 Hz.

Som følge heraf understøtter næsten alle digitale lydenheder, der er i brug i dag, inklusive dem i headset, mobiltelefoner og podcast-mikrofoner, en optagelseshastighed på 48,000 Hz. (Nogle smarte mikrofoner går højere, fordobler, fordobler og ottedobler endda den hastighed helt op til 384 kHz, men 48 kHz er en hastighed, hvormed du kan antage, at næsten enhver moderne digital lydenhed, selv den billigste du kan finde, vil være i stand til at optage.)

Hvor lyd møder radio

Traditionelle mikrofoner konverterer fysisk lydtryk til elektriske signaler, så de fleste mennesker forbinder ikke lydstikket på deres bærbare eller mobiltelefon med elektromagnetisk stråling.

Men du kan konvertere din mobiltelefons lyd kredsløb i en lav kvalitet, lav frekvens, lav-effekt radio modtager eller sender...

...simpelthen ved at skabe en "mikrofon" (eller et par "hovedtelefoner") bestående af en ledningsløkke, sætte den i lydstikket og lade den fungere som en radioantenne.

Hvis du optager det svage elektriske "lyd"-signal, der genereres i ledningssløjfen af ​​den elektromagnetiske stråling, den udsættes for, har du en 48,000 Hz digital rekonstruktion af radiobølgerne, der blev opfanget, mens din "antennetelefon" var tilsluttet.

Så ved at bruge nogle smarte frekvenskodningsteknikker til at konstruere radiostøj, der trods alt ikke bare var tilfældig støj, var Guri i stand til at skabe en skjult envejsdatakanal med datahastigheder fra 100 bit/sek. til 1000 bit/ sek, afhængigt af den type enhed, som CPU-indlæsnings-tweaking-koden kørte på.

Stationære pc'er, fandt Guri, kunne narre til at producere "hemmelige radiobølger" af den bedste kvalitet, hvilket giver 500 bits/sek. uden fejl eller 1000 bits/sek. med en fejlrate på 1 %.

En Raspberry Pi 3 kunne "transmittere" med 200 bits/sek. uden fejl, mens en Dell-laptop, der blev brugt i testen, klarede 100 bits/sek.

Vi antager, at jo tættere kredsløbet og komponenterne er inde i en enhed, jo større er interferensen med de skjulte radiosignaler, der genereres af SMPS-kredsløbet.

Guri foreslår også, at de strømstyringskontroller, der typisk bruges på bærbare computere, primært rettet mod at forlænge batteriets levetid, reducerer det omfang, i hvilket hurtige ændringer i CPU-behandlingsbelastningen påvirker omskiftningen af ​​SMPS, og dermed reducerer databærekapaciteten af skjult signal.

Nevertheless, 100 bits/sec is enough to steal a 256-bit AES key in under 3 seconds, a 4096-bit RSA key in about a minute, or 1 MByte of arbitrary data in under a day.

Hvad skal jeg gøre?

Hvis du kører et sikkert område, og du er bekymret for hemmelige eksfiltrationskanaler af denne slags:

• Overvej at tilføje radioafskærmning omkring dit sikre område. For store laboratorier kan dette desværre være dyrt og involverer typisk dyr isolering af laboratoriets strømforsyningsledninger samt afskærmning af vægge, gulve og lofter med metalnet.
• Overvej at generere modovervågningsradiosignaler. "Jamming" af radiospektret i frekvensbåndet, som almindelige lydmikrofoner kan digitalisere, vil afbøde denne form for angreb. Bemærk dog, at radiojamming kan kræve tilladelse fra regulatorerne i dit land.
• Overvej at øge din luftspalte til over 2 meter. Se på din plantegning og tag højde for, hvad der er ved siden af ​​det sikre laboratorium. Lad ikke personale eller besøgende, der arbejder i den usikre del af dit netværk, komme tættere end 2m på udstyr indenfor, selvom der er en væg i vejen.
• Overvej at køre tilfældige ekstra processer på sikre enheder. Dette tilføjer uforudsigelig radiostøj oven på de skjulte signaler, hvilket gør dem sværere at opdage og afkode. Som Guri dog bemærker, reducerer du hele tiden din tilgængelige processorkraft, hvis du gør dette "just in case", hvilket måske ikke er acceptabelt.
• Overvej at låse din CPU-frekvens. Nogle BIOS-opsætningsværktøjer lader dig gøre dette, og det begrænser mængden af ​​strømskift, der finder sted. Dog Guri fundet at dette i virkeligheden kun begrænser rækkevidden af ​​angrebet og faktisk ikke eliminerer det.

Selvfølgelig, hvis du ikke har et sikkert område at bekymre dig om...

…så kan du bare nyde denne historie, mens du husker, at den forstærker princippet om angreb bliver kun bedre, og dermed det sikkerhed er virkelig en rejse, ikke en destination.

---