COVID-bit : l'astuce des logiciels espions sans fil au nom malheureux

Si vous êtes un lecteur régulier de Naked Security, vous pouvez probablement deviner où sur la planète nous nous dirigeons dans ce voyage virtuel….

…nous repartons pour le Département d'Ingénierie des Logiciels et des Systèmes d'Information de l'Université Ben Gourion du Néguev en Israël.

Les chercheurs du Centre de recherche sur la cybersécurité du département enquêtent régulièrement sur les problèmes de sécurité liés aux soi-disant entrefer réseaux.

Comme son nom l'indique, un réseau isolé est délibérément déconnecté non seulement d'Internet, mais également de tout autre réseau, même ceux du même établissement.

Pour créer une zone de traitement de données sécurisée à haute sécurité (ou, plus précisément, toute zone de sécurité supérieure à celle de ses voisins où les données ne peuvent pas facilement sortir), aucun fil physique n'est connecté du réseau isolé à tout autre réseau .

De plus, tout le matériel de communication sans fil est généralement désactivé (et idéalement retiré physiquement si possible, ou déconnecté de manière permanente en coupant des fils ou des traces de circuits imprimés si ce n'est pas le cas).

L'idée est de créer un environnement où même si des attaquants ou des initiés mécontents réussissaient à injecter du code malveillant tel que des logiciels espions développement système, ils ne trouveraient pas facile, ni même possible, de récupérer leurs données volées ande nouveau.

C'est plus difficile qu'il n'y paraît

Malheureusement, la création d'un réseau utilisable sans "échappatoires de données" vers l'extérieur est plus difficile qu'il n'y paraît, et les chercheurs de l'Université Ben Gourion ont décrit de nombreuses astuces viables, ainsi que la façon dont vous pouvez les atténuer, dans le passé.

Nous avons écrit, certes avec un mélange de fascination et de plaisir, sur leur travail à de nombreuses reprises auparavant, y compris des trucs loufoques tels que GAIROSCOPE (transformer la puce de la boussole d'un téléphone portable en un microphone grossier), LANTENNE (utilisant des câbles réseau câblés comme antennes radio) et le ÉMETTEUR DE FANS (variation de la vitesse du ventilateur du processeur en modifiant la charge du système pour créer un « canal de données » audio).

Cette fois, les chercheurs ont donné à leur nouvelle astuce le nom malheureux et peut-être inutilement déroutant Bit COVID, Où COV est explicitement répertorié comme signifiant "secret", et il nous reste à deviner que Bit d'identification signifie quelque chose comme "la divulgation d'informations, bit par bit".

Ce schéma d'exfiltration de données utilise la propre alimentation électrique d'un ordinateur comme source de transmissions radio non autorisées mais détectables et décodables.

Les chercheurs revendiquent des taux de transmission de données cachés jusqu'à 1000 bits/s (ce qui était une vitesse de modem commuté parfaitement utile et utilisable il y a 40 ans).

Ils affirment également que les données divulguées peuvent être reçues par un téléphone mobile non modifié et d'apparence innocente - même un avec tout son propre matériel sans fil désactivé - jusqu'à 2 mètres de distance.

Cela signifie que des complices en dehors d'un laboratoire sécurisé pourraient utiliser cette astuce pour recevoir des données volées sans se méfier, en supposant que les murs du laboratoire ne sont pas suffisamment bien protégés contre les fuites radio.

Alors, voici comment Bit COVID œuvres.

Gestion de l'alimentation en tant que canal de données

Les processeurs modernes varient généralement leur tension et leur fréquence de fonctionnement afin de s'adapter à l'évolution de la charge, réduisant ainsi la consommation d'énergie et aidant à prévenir la surchauffe.

En effet, certains ordinateurs portables contrôlent la température du processeur sans avoir besoin de ventilateurs, en ralentissant délibérément le processeur s'il commence à devenir trop chaud, en ajustant à la fois la fréquence et la tension pour réduire la chaleur perdue au prix de performances inférieures. (Si vous vous êtes déjà demandé pourquoi vos nouveaux noyaux Linux semblent se construire plus rapidement en hiver, c'est peut-être pourquoi.)

Ils peuvent le faire grâce à un appareil électronique intelligent connu sous le nom de SMPS, abréviation de alimentation à découpage.

Les SMPS n'utilisent pas de transformateurs et de résistances variables pour faire varier leur tension de sortie, comme le faisaient autrefois les adaptateurs d'alimentation à l'ancienne, encombrants, inefficaces et bourdonnants.

Au lieu de cela, ils prennent une tension d'entrée constante et la convertissent en une onde carrée CC nette en utilisant un transistor à commutation rapide pour activer et désactiver complètement la tension, de centaines de milliers à des millions de fois par seconde.

Des composants électriques assez simples transforment ensuite ce signal CC haché en une tension constante qui est proportionnelle au rapport entre la durée des étapes « on » et les étapes « off » dans l'onde carrée proprement commutée.

En gros, imaginez une entrée 12 V CC qui est complètement allumée pendant 1/500,000 1e de seconde, puis complètement éteinte pendant 250,000/12 1e de seconde, encore et encore, donc c'est à 3 V pendant 0/2 du temps et à 3V pour les 1/3 de celui-ci. Imaginez ensuite que cette onde carrée électrique soit «lissée» par une inductance, une diode et un condensateur en une sortie CC continue à 4/XNUMX du niveau d'entrée de crête, produisant ainsi une sortie presque parfaitement stable de XNUMXV.

Comme vous pouvez l'imaginer, cette commutation et ce lissage impliquent des changements rapides de courant et de tension à l'intérieur du SMPS, ce qui à son tour crée des champs électromagnétiques modestes (en termes simples, les ondes radio) qui s'échappent via les conducteurs métalliques de l'appareil lui-même, tels que les pistes conductrices de la carte de circuit imprimé et le câblage en cuivre.

Et là où il y a une fuite électromagnétique, vous pouvez être sûr que les chercheurs de l'Université Ben Gourion chercheront des moyens de l'utiliser comme un éventuel mécanisme de signalisation secret.

Mais comment utiliser le bruit radio d'un SMPS commutant des millions de fois par seconde pour véhiculer autre chose que du bruit ?

Changer le taux de commutation

L'astuce, selon un rapport écrit par le chercheur Mordechai Guri, consiste à faire varier la charge sur le CPU de manière soudaine et spectaculaire, mais à une fréquence beaucoup plus faible, en modifiant délibérément le code exécuté sur chaque cœur du CPU entre 5000 et 8000 fois par seconde.

En créant un modèle systématique de changements dans la charge du processeur à ces fréquences relativement basses…

… Guri a réussi à tromper le SMPS commuter ses taux de commutation haute fréquence de telle manière qu'il a généré des modèles radio basse fréquence qui pourraient être détectés et décodés de manière fiable.

Mieux encore, étant donné que son "pseudo-bruit" électromagnétique délibérément généré s'est manifesté entre 0 Hz et 60 kHz, il s'est avéré être bien aligné avec les capacités d'échantillonnage de la puce audio moyenne d'un ordinateur portable ou d'un téléphone portable, utilisée pour numériser la voix et la lecture. musique.

(La phrase puce audio ci-dessus n'est pas une faute de frappe, même s'il s'agit d'ondes radio, comme vous le verrez bientôt.)

L'oreille humaine, en l'occurrence, peut entendre des fréquences jusqu'à environ 20 kHz, et vous devez produire une sortie ou enregistrer une entrée au moins deux fois ce taux afin de détecter les oscillations sonores de manière fiable et ainsi de reproduire les hautes fréquences comme des ondes sonores viables plutôt que juste des pointes ou des "lignes droites" de style DC.

Taux d'échantillonnage de CD (disques compactes, si vous vous en souvenez) ont été réglés à 44,100 XNUMX Hz pour cette raison, et DAT (bande audio numérique) a suivi peu de temps après, sur la base d'un taux similaire mais légèrement différent de 48,000 XNUMX Hz.

En conséquence, presque tous les appareils audio numériques utilisés aujourd'hui, y compris ceux des casques, des téléphones portables et des micros de podcasting, prennent en charge un taux d'enregistrement de 48,000 384 Hz. (Certains micros sophistiqués vont plus haut, doublant, redoublant et même octuplant ce taux jusqu'à 48 kHz, mais XNUMX kHz est un taux auquel vous pouvez supposer que presque tous les appareils audio numériques contemporains, même les moins chers que vous pouvez trouver, pourront enregistrement.)

Quand l'audio rencontre la radio

Les microphones traditionnels convertissent la pression sonore physique en signaux électriques, de sorte que la plupart des gens n'associent pas la prise audio de leur ordinateur portable ou de leur téléphone portable à un rayonnement électromagnétique.

Mais vous pouvez convertir votre téléphone mobile acoustique circuits dans un circuit basse qualité, basse fréquence, basse puissance Radio récepteur ou émetteur…

… simplement en créant un "microphone" (ou une paire de "casques") constitué d'une boucle de fil, en le branchant sur la prise audio et en le laissant agir comme une antenne radio.

Si vous enregistrez le faible signal électrique "audio" généré dans la boucle de fil par le rayonnement électromagnétique auquel il est exposé, vous obtenez une reconstruction numérique à 48,000 XNUMX Hz des ondes radio captées pendant que votre "antenne" était branchée.

Ainsi, en utilisant des techniques de codage de fréquence astucieuses pour construire un "bruit" radio qui n'était pas seulement un bruit aléatoire après tout, Guri a pu créer un canal de données unidirectionnel secret avec des débits de données allant de 100 bits/s à 1000 bits/s. sec, selon le type de périphérique sur lequel le code de réglage de la charge du processeur était en cours d'exécution.

Les ordinateurs de bureau, a découvert Guri, pourraient être amenés à produire des "ondes radio secrètes" de la meilleure qualité, donnant 500 bits/sec sans erreur ou 1000 bits/sec avec un taux d'erreur de 1%.

Un Raspberry Pi 3 pouvait "transmettre" à 200 bits/sec sans erreur, tandis qu'un ordinateur portable Dell utilisé dans le test gérait 100 bits/sec.

Nous supposons que plus les circuits et les composants sont étroitement emballés à l'intérieur d'un appareil, plus les interférences avec les signaux radio cachés générés par le circuit SMPS sont importantes.

Guri suggère également que les commandes de gestion de l'alimentation généralement utilisées sur les ordinateurs portables, visant principalement à prolonger la durée de vie de la batterie, réduisent la mesure dans laquelle des modifications rapides de la charge de traitement du processeur affectent la commutation du SMPS, réduisant ainsi la capacité de transport de données du signal secret.

Néanmoins, 100 bits/s suffisent pour voler une clé AES de 256 bits en moins de 3 secondes, une clé RSA de 4096 1 bits en une minute environ ou XNUMX Mo de données arbitraires en moins d'une journée.

Que faire?

Si vous gérez une zone sécurisée et que vous vous inquiétez des canaux d'exfiltration secrets de ce type :

• Envisagez d'ajouter un blindage radio autour de votre zone sécurisée. Malheureusement, pour les grands laboratoires, cela peut être coûteux et implique généralement une isolation coûteuse du câblage d'alimentation du laboratoire ainsi que des murs, des sols et des plafonds blindés avec un treillis métallique.
• Envisagez de générer des signaux radio de contre-surveillance. « Brouiller » le spectre radio dans la bande de fréquences que les microphones audio courants peuvent numériser atténuera ce type d'attaque. Notez cependant que le brouillage radio peut nécessiter l'autorisation des régulateurs de votre pays.
• Envisagez d'augmenter votre entrefer au-dessus de 2 mètres. Regardez votre plan d'étage et tenez compte de ce qui se trouve à côté du laboratoire sécurisé. Ne laissez pas le personnel ou les visiteurs travaillant dans la partie non sécurisée de votre réseau s'approcher à moins de 2 m de l'équipement à l'intérieur, même s'il y a un mur sur le chemin.
• Envisagez d'exécuter des processus supplémentaires aléatoires sur des appareils sécurisés. Cela ajoute un bruit radio imprévisible aux signaux cachés, ce qui les rend plus difficiles à détecter et à décoder. Comme le note Guri, cependant, faire cela "juste au cas où" réduit constamment votre puissance de traitement disponible, ce qui pourrait ne pas être acceptable.
• Envisagez de verrouiller la fréquence de votre CPU. Certains outils de configuration du BIOS vous permettent de le faire, et cela limite la quantité de commutation d'alimentation qui a lieu. Cependant, Gouri trouvé que cela ne fait que limiter la portée de l'attaque et ne l'élimine pas réellement.

Bien sûr, si vous n'avez pas de zone sécurisée à vous soucier…

… alors vous pouvez simplement profiter de cette histoire, tout en vous rappelant qu'elle renforce le principe selon lequel les attaques ne font que s'améliorer, et donc que la sécurité est vraiment un voyage, pas une destination.

---