COVID-Bit: Der drahtlose Spyware-Trick mit einem unglücklichen Namen

Wenn Sie ein regelmäßiger Naked Security-Leser sind, können Sie wahrscheinlich erraten, wohin in aller Welt wir auf dieser virtuellen Reise unterwegs sind ….

… geht es noch einmal zum Department of Software and Information Systems Engineering der Ben-Gurion University of the Negev in Israel.

Forscher im Cyber-Security Research Center des Fachbereichs untersuchen regelmäßig Sicherheitsfragen im Zusammenhang mit sog Luftspalt Netzwerke.

Wie der Name schon sagt, wird ein Airgapped-Netzwerk absichtlich nicht nur vom Internet, sondern auch von allen anderen Netzwerken getrennt, sogar von denen in derselben Einrichtung.

Um einen sicheren Hochsicherheits-Datenverarbeitungsbereich zu schaffen (oder genauer gesagt einen Bereich mit höherer Sicherheit als seine Nachbarn, aus dem Daten nicht so einfach herauskommen können), werden keine physischen Kabel vom Airgapped-Netzwerk mit einem anderen Netzwerk verbunden .

Darüber hinaus wird die gesamte drahtlose Kommunikationshardware normalerweise deaktiviert (und im Idealfall physisch entfernt, wenn möglich, oder dauerhaft getrennt, indem Drähte oder Leiterplattenspuren durchtrennt werden, wenn dies nicht der Fall ist).

Die Idee ist, eine Umgebung zu schaffen, in der es Angreifern oder unzufriedenen Insidern gelingt, bösartigen Code wie Spyware einzuschleusen in das System, würden sie es nicht leicht oder gar möglich finden, ihre gestohlenen Daten zurückzubekommen erneut.

Es ist schwieriger, als es sich anhört

Leider ist die Erstellung eines nutzbaren Airgapped-Netzwerks ohne „Datenlücken“ nach außen schwieriger, als es sich anhört, und die Rechercheure der Ben-Gurion-Universität haben in der Vergangenheit zahlreiche praktikable Tricks beschrieben, zusammen mit Möglichkeiten, wie Sie diese abschwächen können.

Wir haben, zugegebenermaßen mit einer Mischung aus Faszination und Freude, schon oft über ihre Arbeit geschrieben, einschließlich verrückter Tricks wie GAIROSKOP (den Kompass-Chip eines Mobiltelefons in ein primitives Mikrofon verwandeln), LANTENNE (unter Verwendung fest verdrahteter Netzwerkkabel als Funkantennen) und der FANSMITTER (Variieren der CPU-Lüftergeschwindigkeit durch Ändern der Systemlast, um einen Audio-"Datenkanal" zu erstellen).

Diesmal haben die Forscher ihrem neuen Trick den unglücklichen und vielleicht unnötig verwirrenden Namen gegeben COVID-Bit, Wobei COV steht ausdrücklich für „verdeckt“, und wir müssen das erraten ID-Bit steht für so etwas wie „Information Disclosure, Bit-by-Bit“.

Dieses Datenexfiltrationsschema nutzt die eigene Stromversorgung eines Computers als Quelle für nicht autorisierte, aber erkennbare und dekodierbare Funkübertragungen.

Die Forscher behaupten verdeckte Datenübertragungsraten von bis zu 1000 Bit/Sek. (was vor 40 Jahren eine durchaus nützliche und brauchbare DFÜ-Modemgeschwindigkeit war).

Sie behaupten auch, dass die durchgesickerten Daten von einem unveränderten und unschuldig aussehenden Mobiltelefon – sogar einem mit ausgeschalteter eigener drahtloser Hardware – in einer Entfernung von bis zu 2 Metern empfangen werden können.

Dies bedeutet, dass Komplizen außerhalb eines Sicherheitslabors möglicherweise diesen Trick anwenden können, um unauffällig gestohlene Daten zu erhalten, vorausgesetzt, dass die Wände des Labors nicht ausreichend gegen Funklecks abgeschirmt sind.

Also, hier ist wie COVID-Bit Werke.

Powermanagement als Datenkanal

Moderne CPUs variieren normalerweise ihre Betriebsspannung und -frequenz, um sich an wechselnde Lasten anzupassen, wodurch der Stromverbrauch gesenkt und eine Überhitzung verhindert wird.

Tatsächlich steuern einige Laptops die CPU-Temperatur ohne Lüfter, indem sie den Prozessor absichtlich verlangsamen, wenn er zu heiß wird, und sowohl die Frequenz als auch die Spannung anpassen, um die Abwärme auf Kosten einer geringeren Leistung zu reduzieren. (Wenn Sie sich jemals gefragt haben, warum Ihre neuen Linux-Kernel im Winter anscheinend schneller gebaut werden, könnte dies der Grund sein.)

Sie können dies dank eines netten elektronischen Geräts tun, das als SMPS, kurz für, bekannt ist Schaltnetzteil.

SMPS verwenden keine Transformatoren und variablen Widerstände, um ihre Ausgangsspannung zu variieren, wie es altmodische, sperrige, ineffiziente, brummige Netzteile in früheren Zeiten taten.

Stattdessen nehmen sie eine konstante Eingangsspannung und wandeln sie in eine saubere Gleichstrom-Rechteckwelle um, indem sie einen schnell schaltenden Transistor verwenden, um die Spannung vollständig ein- und vollständig auszuschalten, überall von Hunderttausenden bis zu Millionen von Malen pro Sekunde.

Ziemlich einfache elektrische Komponenten wandeln dieses zerhackte Gleichstromsignal dann in eine konstante Spannung um, die proportional zu dem Verhältnis ist, wie lange die „Ein“-Stufen und die „Aus“-Stufen in der sauber geschalteten Rechteckwelle sind.

Stellen Sie sich grob gesagt einen 12-V-DC-Eingang vor, der für 1/500,000 Sekunde vollständig eingeschaltet und dann für 1/250,000 Sekunde vollständig ausgeschaltet ist, immer und immer wieder, sodass er 12/1 der Zeit auf 3 V liegt und bei 0V für 2/3 davon. Stellen Sie sich dann vor, dass diese elektrische Rechteckwelle durch einen Induktor, eine Diode und einen Kondensator zu einem kontinuierlichen Gleichstromausgang bei 1/3 des Spitzeneingangspegels „geglättet“ wird, wodurch ein nahezu perfekt konstanter Ausgang von 4 V erzeugt wird.

Wie Sie sich vorstellen können, beinhaltet dieses Schalten und Glätten schnelle Änderungen von Strom und Spannung innerhalb des SMPS, was wiederum bescheidene elektromagnetische Felder erzeugt (einfach ausgedrückt, Radiowellen), die über die Metallleiter im Gerät selbst austreten, wie z. B. Leiterplattenleiterbahnen und Kupferdrähte.

Und wo es elektromagnetische Leckagen gibt, können Sie sicher sein, dass Forscher der Ben-Gurion-Universität nach Wegen suchen werden, sie als möglichen geheimen Signalmechanismus zu nutzen.

Aber wie können Sie das Funkrauschen eines SMPS verwenden, das millionenfach pro Sekunde schaltet, um etwas anderes als Rauschen zu übermitteln?

Wechseln Sie die Schaltrate

Der Trick nach a berichten geschrieben vom Forscher Mordechai Guri, besteht darin, die Belastung der CPU plötzlich und dramatisch zu variieren, jedoch mit einer viel geringeren Frequenz, indem der Code, der auf jedem CPU-Kern ausgeführt wird, absichtlich zwischen 5000 und 8000 Mal pro Sekunde geändert wird.

Durch die Erstellung eines systematischen Musters von Änderungen der Prozessorlast bei diesen vergleichsweise niedrigen Frequenzen …

… Guri konnte das SMPS dazu bringen Schalten seiner hochfrequenten Schaltraten so, dass es niederfrequente Funkmuster erzeugte, die zuverlässig erkannt und dekodiert werden konnten.

Besser noch, da sein absichtlich erzeugtes elektromagnetisches „Pseudorauschen“ zwischen 0 Hz und 60 kHz auftauchte, stellte sich heraus, dass es gut zu den Sampling-Fähigkeiten eines durchschnittlichen Laptop- oder Handy-Audiochips passte, der zur Digitalisierung von Sprache und Wiedergabe verwendet wird Musik.

(Der Satz Audio-Chip oben ist kein Tippfehler, obwohl wir über Funkwellen sprechen, wie Sie bald sehen werden.)

Das menschliche Ohr kann Frequenzen bis zu etwa 20 kHz hören, und Sie müssen mindestens doppelt so schnell ausgeben oder aufnehmen, um Schallschwingungen zuverlässig zu erkennen und damit hohe Frequenzen eher als brauchbare Schallwellen wiederzugeben nur Spikes oder „gerade Linien“ im DC-Stil.

CD-Abtastraten (CDs, wenn Sie sich an sie erinnern) wurden aus diesem Grund auf 44,100 Hz eingestellt, und DAT (digitales Tonband) folgte bald darauf, basierend auf einer ähnlichen, aber leicht unterschiedlichen Rate von 48,000 Hz.

Infolgedessen unterstützen fast alle heute verwendeten digitalen Audiogeräte, einschließlich derer in Headsets, Mobiltelefonen und Podcasting-Mikrofonen, eine Aufnahmerate von 48,000 Hz. (Einige ausgefallene Mikrofone gehen höher, verdoppeln, verdoppeln und verachtfachen diese Rate sogar bis zu 384 kHz, aber 48 kHz ist eine Rate, bei der Sie davon ausgehen können, dass fast jedes moderne digitale Audiogerät, selbst das billigste, das Sie finden können, dazu in der Lage sein wird Aufzeichnung.)

Wo Audio auf Radio trifft

Herkömmliche Mikrofone wandeln physikalischen Schalldruck in elektrische Signale um, sodass die meisten Menschen die Audiobuchse an ihrem Laptop oder Mobiltelefon nicht mit elektromagnetischer Strahlung in Verbindung bringen.

Aber Sie können die Ihres Mobiltelefons umwandeln Audio- Schaltung in eine minderwertige, niederfrequente, stromsparende Radio Empfänger oder Sender …

… indem Sie einfach ein „Mikrofon“ (oder ein Paar „Kopfhörer“) erstellen, das aus einer Drahtschleife besteht, es in die Audiobuchse stecken und es als Radioantenne fungieren lassen.

Wenn Sie das schwache elektrische „Audio“-Signal aufzeichnen, das in der Drahtschleife durch die elektromagnetische Strahlung erzeugt wird, der sie ausgesetzt ist, haben Sie eine digitale 48,000-Hz-Rekonstruktion der Radiowellen, die aufgenommen wurden, während Ihr „Antennentelefon“ angeschlossen war.

Durch die Verwendung einiger cleverer Frequenzcodierungstechniken zur Konstruktion von Funkrauschen, das nicht nur zufälliges Rauschen war, war Guri in der Lage, einen verdeckten Einweg-Datenkanal mit Datenraten von 100 Bit/s bis 1000 Bit/s zu erstellen. Sekunden, abhängig vom Gerätetyp, auf dem der Code zur Optimierung der CPU-Last ausgeführt wurde.

Guri fand heraus, dass Desktop-PCs dazu verleitet werden könnten, „geheime Funkwellen“ in bester Qualität zu erzeugen, die 500 Bit/s ohne Fehler oder 1000 Bit/s mit einer Fehlerrate von 1 % liefern.

Ein Raspberry Pi 3 konnte fehlerfrei mit 200 Bit/s „senden“, während ein im Test verwendeter Dell-Laptop 100 Bit/s schaffte.

Wir gehen davon aus, dass die Interferenz mit den verdeckten Funksignalen, die von der SMPS-Schaltung erzeugt werden, umso größer ist, je dichter die Schaltkreise und Komponenten in einem Gerät gepackt sind.

Guri schlägt auch vor, dass die Energieverwaltungssteuerungen, die typischerweise auf Computern der Laptop-Klasse verwendet werden und hauptsächlich darauf abzielen, die Batterielebensdauer zu verlängern, das Ausmaß reduzieren, in dem schnelle Änderungen der CPU-Verarbeitungslast das Umschalten des SMPS beeinflussen, wodurch die Datenübertragungskapazität des reduziert wird verdecktes Signal.

Dennoch reichen 100 Bit/Sek. aus, um einen 256-Bit-AES-Schlüssel in weniger als 3 Sekunden, einen 4096-Bit-RSA-Schlüssel in etwa einer Minute oder 1 MByte beliebige Daten in weniger als einem Tag zu stehlen.

Was ist zu tun?

Wenn Sie einen sicheren Bereich betreiben und sich Sorgen über verdeckte Exfiltrationskanäle dieser Art machen:

• Erwägen Sie, Ihren sicheren Bereich mit einer Funkabschirmung zu versehen. Leider kann dies für große Labore teuer sein und beinhaltet typischerweise eine teure Isolierung der Stromversorgungskabel des Labors sowie die Abschirmung von Wänden, Böden und Decken mit Metallgittern.
• Erwägen Sie die Generierung von Funksignalen zur Gegenüberwachung. Das „Stören“ des Funkspektrums in dem Frequenzband, das herkömmliche Audiomikrofone digitalisieren können, wird diese Art von Angriff abschwächen. Beachten Sie jedoch, dass für Funkstörungen möglicherweise eine Genehmigung der Aufsichtsbehörden in Ihrem Land erforderlich ist.
• Erwägen Sie, Ihren Luftspalt auf über 2 Meter zu vergrößern. Sehen Sie sich Ihren Grundriss an und berücksichtigen Sie, was sich neben dem sicheren Labor befindet. Lassen Sie Mitarbeiter oder Besucher, die im unsicheren Teil Ihres Netzwerks arbeiten, nicht näher als 2 m an Geräte im Inneren heran, selbst wenn eine Wand im Weg ist.
• Erwägen Sie, zufällige zusätzliche Prozesse auf sicheren Geräten auszuführen. Dadurch wird den verdeckten Signalen unvorhersehbares Funkrauschen hinzugefügt, wodurch sie schwerer zu erkennen und zu decodieren sind. Wie Guri jedoch anmerkt, verringert dies „nur für den Fall“ ständig Ihre verfügbare Rechenleistung, was möglicherweise nicht akzeptabel ist.
• Erwägen Sie, Ihre CPU-Frequenz zu sperren. Einige BIOS-Setup-Tools ermöglichen dies, und es begrenzt die Menge der stattfindenden Stromumschaltungen. Aber Guri gefunden dass dies die Reichweite des Angriffs wirklich nur begrenzt und nicht wirklich eliminiert.

Natürlich, wenn Sie keinen sicheren Bereich haben, um den Sie sich Sorgen machen müssen …

…dann kannst du diese Geschichte einfach genießen, während du daran denkst, dass sie das Prinzip bekräftigt Angriffe werden immer besser, und damit das Sicherheit ist wirklich eine Reise, kein Ziel.

---