COVID-bit: det trådløse spyware-trikset med et uheldig navn

Hvis du er en vanlig Naked Security-leser, kan du sannsynligvis gjette hvor på planeten vi er på vei i denne virtuelle reisen...

…vi drar nok en gang til Institutt for programvare- og informasjonssystemteknikk ved Ben-Gurion University of the Negev i Israel.

Forskere i avdelingens Cyber-Security Research Center undersøker jevnlig sikkerhetsspørsmål knyttet til såkalte luftgapet nettverk.

Som navnet antyder, er et luftgapet nettverk bevisst koblet ikke bare fra internett, men også fra andre nettverk, selv de i samme anlegg.

For å skape et trygt databehandlingsområde med høy sikkerhet (eller mer presist et hvilket som helst område med høyere sikkerhet enn naboene der data ikke lett kan komme ut), er ingen fysiske ledninger koblet fra det luftgappede nettverket til noe annet nettverk .

I tillegg er all trådløs kommunikasjonsmaskinvare vanligvis deaktivert (og ideelt sett fjernet fysisk hvis mulig, eller permanent frakoblet ved å kutte ledninger eller kretskortspor hvis ikke).

Tanken er å skape et miljø der selv om angripere eller misfornøyde innsidere klarte å injisere ondsinnet kode som spyware inn systemet, ville de ikke finne det enkelt eller mulig å få tilbake stjålne data ut en gang til.

Det er vanskeligere enn det høres ut som

Dessverre er det vanskeligere å lage et brukbart luftgapet nettverk uten utadgående "datasmuthull" enn det høres ut, og forskere fra Ben-Gurion University har tidligere beskrevet en rekke levedyktige triks, sammen med hvordan du kan dempe dem.

Vi har skrevet, riktignok med en blanding av fascinasjon og glede, om arbeidet deres ved mange anledninger før, inkludert sprø triks som f.eks. GAIROSKOP (gjør en mobiltelefons kompassbrikke til en rå mikrofon), LANTENNE (ved bruk av kablede nettverkskabler som radioantenner) og FANSMITTER (varierende CPU-viftehastighet ved å endre systembelastning for å lage en lyd-"datakanal").

Denne gangen har forskerne gitt sitt nye triks det uheldige og kanskje unødvendig forvirrende navnet COVID-bit, Hvor COV er eksplisitt oppført som stående for "covert", og vi får gjette det ID-bit står for noe sånt som "informasjonsavsløring, bit-for-bit".

Dette dataeksfiltreringsskjemaet bruker datamaskinens egen strømforsyning som en kilde til uautoriserte, men likevel detekterbare og dekodbare radiooverføringer.

Forskerne hevder skjulte dataoverføringshastigheter på opptil 1000 biter/sek. (som var en helt nyttig og brukbar oppringt modemhastighet for 40 år siden).

De hevder også at de lekkede dataene kan mottas av en umodifisert og uskyldig utseende mobiltelefon – selv en med all sin egen trådløse maskinvare slått av – opptil 2 meter unna.

Dette betyr at medskyldige utenfor et sikkert laboratorium kan være i stand til å bruke dette trikset til å motta stjålne data mistenkelig, forutsatt at veggene i laboratoriet ikke er tilstrekkelig godt skjermet mot radiolekkasje.

Så, her er hvordan COVID-bit fungerer.

Strømstyring som datakanal

Moderne CPU-er varierer vanligvis driftsspenningen og frekvensen for å tilpasse seg skiftende belastning, og dermed redusere strømforbruket og bidra til å forhindre overoppheting.

Noen bærbare datamaskiner kontrollerer faktisk CPU-temperaturen uten å trenge vifter, ved bevisst å bremse prosessoren hvis den begynner å bli for varm, justere både frekvens og spenning for å redusere spillvarmen på bekostning av lavere ytelse. (Hvis du noen gang har lurt på hvorfor de nye Linux-kjernene dine ser ut til å bygge raskere om vinteren, kan dette være grunnen.)

De kan gjøre dette takket være en ryddig elektronisk enhet kjent som en SMPS, forkortelse for byttet modus strømforsyning.

SMPSer bruker ikke transformatorer og variable motstander for å variere utgangsspenningen, slik gammeldagse, klumpete, ineffektive, livlige strømadaptere gjorde i gamle dager.

I stedet tar de en jevn inngangsspenning og konverterer den til en pen DC-firkantbølge ved å bruke en hurtigsvitsjende transistor for å slå spenningen helt på og helt av, alt fra hundretusener til millioner av ganger i sekundet.

Ganske enkle elektriske komponenter gjør så dette oppkuttede likestrømssignalet til en jevn spenning som er proporsjonal med forholdet mellom hvor lenge "på"-trinnene og "av"-trinnene er i den rene firkantbølgen.

Tenk deg en 12V DC-inngang som er slått helt på i 1/500,000 1-dels sekund og deretter helt av i 250,000/12 1-deler av et sekund, om og om igjen, så den er på 3V i 0/2 av tiden og ved 3V for 1/3 av den. Tenk deg så at denne elektriske firkantbølgen blir "utjevnet" av en induktor, en diode og en kondensator til en kontinuerlig DC-utgang på 4/XNUMX av toppinngangsnivået, og dermed produsere en nesten perfekt jevn utgang på XNUMXV.

Som du kan forestille deg, involverer denne vekslingen og utjevningen raske endringer av strøm og spenning inne i SMPS, som igjen skaper beskjedne elektromagnetiske felt (enkelt sagt, radiobølger) som lekker ut via metalllederne i selve enheten, for eksempel kretskortlederspor og kobberledninger.

Og der det er elektromagnetisk lekkasje, kan du være sikker på at forskere fra Ben-Gurion University vil lete etter måter å bruke den som en mulig hemmelig signalmekanisme.

Men hvordan kan du bruke radiostøyen til en SMPS som bytter millioner av ganger i sekundet til å formidle noe annet enn støy?

Bytt byttehastighet

Trikset, ifølge a rapporterer skrevet av forsker Mordechai Guri, er å variere belastningen på CPUen plutselig og dramatisk, men med en mye lavere frekvens, ved bevisst å endre koden som kjører på hver CPU-kjerne mellom 5000 og 8000 ganger i sekundet.

Ved å lage et systematisk mønster av endringer i prosessorbelastning ved disse relativt lave frekvensene...

…Guri var i stand til å lure SMPS inn bytte av høyfrekvente vekslingshastigheter på en slik måte at den genererte lavfrekvente radiomønstre som pålitelig kunne oppdages og dekodes.

Enda bedre, gitt at hans bevisst genererte elektromagnetiske "pseudo-støy" dukket opp mellom 0Hz og 60kHz, viste det seg å være godt på linje med samplingsevnen til den gjennomsnittlige bærbare eller mobiltelefonlydbrikken, brukt til å digitalisere stemme og spille av musikk.

(Frasen lydbrikke ovenfor er ikke en skrivefeil, selv om vi snakker om radiobølger, som du snart vil se.)

Det menneskelige øret kan, som det skjer, høre frekvenser opp til ca. 20 kHz, og du må produsere utgang eller ta opp inngang med minst dobbelt så høy hastighet for å oppdage lydsvingninger pålitelig og dermed reprodusere høye frekvenser som levedyktige lydbølger i stedet for bare pigger eller DC-stil "rette linjer".

CD-samplingsfrekvenser (kompakte plater, hvis du husker dem) ble satt til 44,100 XNUMX Hz av denne grunn, og DAT (digitalt lydbånd) fulgte like etterpå, basert på en lignende-men-litt-forskjellig hastighet på 48,000 XNUMX Hz.

Som et resultat støtter nesten alle digitale lydenheter som er i bruk i dag, inkludert de i hodesett, mobiltelefoner og podcasting-mikrofoner, en opptakshastighet på 48,000 384 Hz. (Noen fancy mikrofoner går høyere, dobler, fordobler og til og med oktoblerer den hastigheten helt opp til 48kHz, men XNUMXkHz er en hastighet som du kan anta at nesten alle moderne digitale lydenheter, selv den billigste du kan finne, vil kunne ta opp.)

Hvor lyd møter radio

Tradisjonelle mikrofoner konverterer fysisk lydtrykk til elektriske signaler, så de fleste forbinder ikke lydkontakten på den bærbare datamaskinen eller mobiltelefonen med elektromagnetisk stråling.

Men du kan konvertere mobiltelefonen din lyd krets til en lav kvalitet, lavfrekvent, lavt strømforbruk radio mottaker eller sender...

... ganske enkelt ved å lage en "mikrofon" (eller et par "hodetelefoner") som består av en ledningssløyfe, koble den til lydkontakten og la den fungere som en radioantenne.

Hvis du tar opp det svake elektriske "lyd"-signalet som genereres i ledningssløyfen av den elektromagnetiske strålingen den utsettes for, har du en 48,000 XNUMX Hz digital rekonstruksjon av radiobølgene som ble fanget opp mens "antennetelefonen" var koblet til.

Så ved å bruke noen smarte frekvenskodingsteknikker for å konstruere radiostøy som tross alt ikke bare var tilfeldig støy, var Guri i stand til å lage en skjult enveis datakanal med datahastigheter fra 100 bits/sek til 1000 bits/ sek, avhengig av typen enhet som CPU-lastjusteringskoden kjørte på.

Stasjonære PC-er, fant Guri, kunne bli lurt til å produsere den beste kvaliteten "hemmelige radiobølger", som gir 500 biter/sek. uten feil eller 1000 biter/sek. med 1 % feilrate.

En Raspberry Pi 3 kunne "sende" med 200 bits/sek uten feil, mens en Dell bærbar PC som ble brukt i testen klarte 100 bits/sek.

Vi antar at jo tettere kretsene og komponentene er inne i en enhet, desto større blir forstyrrelsen av de skjulte radiosignalene som genereres av SMPS-kretsen.

Guri foreslår også at strømstyringskontrollene som vanligvis brukes på bærbare datamaskiner, primært rettet mot å forlenge batterilevetiden, reduserer i hvilken grad raske endringer i prosesseringsbelastningen på CPU påvirker bytte av SMPS, og dermed reduserer databærekapasiteten til skjult signal.

Likevel er 100 bits/sek. nok til å stjele en 256-bits AES-nøkkel på under 3 sekunder, en 4096-bits RSA-nøkkel på omtrent ett minutt, eller 1 MByte med vilkårlig data på under en dag.

Hva gjør jeg?

Hvis du driver et sikkert område og du er bekymret for skjulte eksfiltrasjonskanaler av denne typen:

• Vurder å legge til radioskjerming rundt det sikre området ditt. Dessverre, for store laboratorier, kan dette være dyrt, og involverer vanligvis dyr isolering av laboratoriets strømforsyningsledninger samt skjerming av vegger, gulv og tak med metallnetting.
• Vurder å generere motovervåkingsradiosignaler. Å "jamme" radiospekteret i frekvensbåndet som vanlige lydmikrofoner kan digitalisere vil dempe denne typen angrep. Vær imidlertid oppmerksom på at radiojamming kan kreve tillatelse fra regulatorene i ditt land.
• Vurder å øke luftspalten til over 2 meter. Se på plantegningen din og ta hensyn til hva som er ved siden av det sikre laboratoriet. Ikke la ansatte eller besøkende som jobber i den usikre delen av nettverket ditt komme nærmere utstyret på innsiden enn 2 meter, selv om det er en vegg i veien.
• Vurder å kjøre tilfeldige ekstra prosesser på sikre enheter. Dette legger til uforutsigbar radiostøy på toppen av de skjulte signalene, noe som gjør dem vanskeligere å oppdage og dekode. Som Guri bemerker, reduserer imidlertid å gjøre dette "bare i tilfelle" din tilgjengelige prosessorkraft hele tiden, noe som kanskje ikke er akseptabelt.
• Vurder å låse CPU-frekvensen. Noen BIOS-oppsettverktøy lar deg gjøre dette, og det begrenser mengden strømsvitsjing som finner sted. Imidlertid Guri funnet at dette egentlig bare begrenser angrepets rekkevidde, og faktisk ikke eliminerer det.

Selvfølgelig, hvis du ikke har et sikkert område å bekymre deg for...

…så kan du bare nyte denne historien, samtidig som du husker at den forsterker prinsippet om det angrep blir bare bedre, og dermed det sikkerhet er egentlig en reise, ikke et mål.

---