Từ chối dịch vụ máy tính xách tay qua âm nhạc: bài hát R&B những năm 1980 với CVE!

Bạn có thể đã nghe câu chuyện cười cũ: “Hài hước trong công vụ? Không có chuyện cười! "

Nhưng vấn đề với những phán đoán chung chung, lạc quan kiểu này là chỉ cần một ví dụ phản bác duy nhất để bác bỏ chúng.

Một điều gì đó không thể là sự thật nếu nó luôn sai, dù chỉ trong một khoảnh khắc.

Vì vậy, sẽ không tốt nếu thỉnh thoảng dịch vụ công có thể lạc quan…

… Lạc quan, trên thực tế, như điệu nhảy của Janet Jackson hấp dẫn Nhịp điệu dân tộc, phát hành vào năm 1989 (vâng, nó thực sự đã lâu như vậy)?

[Nhúng nội dung]

Đây là thời đại của đệm vai, MTV, video khiêu vũ kinh phí lớn và thể loại âm nhạc trữ tình vừa tai, vừa mắt mà ngay cả hệ thống phiên âm tự động đương đại của YouTube cũng có lúc hiển thị đơn giản như sau:

  Bass, bass, bass, bass, bass ♪ (Nhạc R&B sôi động) ♪ Dance beat, dance beat

Vâng, như siêu đại gia của Microsoft Raymond Chen chỉ ra tuần trước, chính bài hát này rõ ràng có liên quan đến một lỗ hổng bảo mật đáng kinh ngạc về sự cố hệ thống vào đầu những năm 2000.

Theo Chen, một nhà sản xuất máy tính xách tay lớn trong ngày (ông không nói hãng nào) phàn nàn rằng Windows dễ bị treo khi một số bản nhạc được phát qua loa của máy tính xách tay.

Sự cố, có vẻ như không chỉ giới hạn ở máy tính xách tay đang phát bài hát, mà còn có thể xảy ra trên các máy tính xách tay gần đó đã tiếp xúc với nhạc “kích hoạt lỗ hổng bảo mật” và thậm chí trên máy tính xách tay của các nhà cung cấp khác.

Cộng hưởng được coi là có hại

Rõ ràng, kết luận cuối cùng là Nhịp điệu dân tộc chỉ tình cờ bao gồm các nhịp đúng cao độ, lặp lại với tốc độ phù hợp, điều này đã gây ra một hiện tượng được gọi là cộng hưởng trong các ổ đĩa máy tính xách tay trong ngày.

Nói một cách dễ hiểu, sự cộng hưởng này khiến các rung động tự nhiên trong các thiết bị đĩa cứng (thực sự chứa đĩa cứng hồi đó, được làm bằng thép hoặc thủy tinh và quay ở tốc độ 5400 vòng / phút) được khuếch đại và phóng đại đến mức chúng sẽ bị sập, làm sập Windows. XP cùng với chúng.

Cộng hưởng, như bạn có thể biết, là cái tên được đặt cho hiện tượng mà ca sĩ có thể làm vỡ ly rượu bằng cách tạo ra một nốt nhạc phù hợp trong thời gian đủ lâu để làm ly rượu rung lên từng mảnh.

Khi họ đã khóa tần số của nốt nhạc mà họ đang hát theo tần số tự nhiên mà chiếc kính thích rung, tiếng hát của họ liên tục tăng biên độ dao động cho đến khi quá mức cho chiếc kính.

Đó cũng là thứ cho phép bạn nhanh chóng tăng chiều cao và động lực khi đu.

Nếu bạn đặt thời gian cho các cú đá hoặc lực đẩy của mình một cách ngẫu nhiên, đôi khi chúng thúc đẩy chuyển động của bạn bằng cách hành động hài hòa với cú xoay, nhưng những lúc khác, chúng tác động ngược lại với cú xoay và thay vào đó làm bạn giảm tốc độ, khiến bạn chạy bộ lung tung.

Nhưng nếu bạn định thời gian đầu vào năng lượng của mình để nó luôn khớp chính xác với tần số của cú xoay, bạn sẽ liên tục tăng mức năng lượng trong hệ thống, và do đó, cú lắc của bạn tăng biên độ và bạn tăng chiều cao nhanh chóng.

Một vận động viên đu dây có tay nghề cao (trên một chiếc xích đu được thiết kế phù hợp, được gắn tốt, “cánh tay chắc chắn”, nơi ghế không được kết nối với trụ bằng dây hoặc xích linh hoạt - đừng thử điều này ở công viên!) Có thể gửi một chiếc xích đu ngay trên đỉnh theo hình vòng cung 360 độ chỉ với một vài máy bơm…

… Và bằng cách cố ý định thời gian cho máy bơm của chúng không theo trình tự để chống lại chuyển động của xích đu, có thể đưa nó dừng lại hoàn toàn một cách nhanh chóng.

Bằng chứng của khái niệm

Chúng tôi đoán rằng có thể có nhiều bài hát nổi tiếng khác có thể gây ra tiếng vang cho đĩa cứng này đến mức thất bại, nhưng Nhịp điệu dân tộc là bằng chứng về khái niệm cho thấy lỗ hổng này có thể bị khai thác một cách tích cực.

Chen báo cáo rằng nhà cung cấp máy tính xách tay đã thêm một bộ lọc tần số vào hệ thống âm thanh của máy tính xách tay để loại bỏ các dải tần số có xu hướng gây ra sự cố, do đó giữ cho âm thanh không thay đổi nhưng vô hại về mặt âm học.

Bằng cách lọc tần số mọi lúc, thay vì cố gắng nhận ra bài hát của Janet Jackson một cách cụ thể, biện pháp đối phó điện tử này đã trở thành một bản sửa lỗi an ninh mạng chung và chủ động, không chỉ là một bản vá cụ thể cho một giai điệu.

Chà, quay lại vấn đề hài hước trong công vụ…

… Hóa ra một người nào đó tại MITER ở Hoa Kỳ, nơi số lỗi CVE được điều phối, đã chỉ định vấn đề này số lỗi chính thức, như sau:

CVE-2022-38392:  Từ chối dịch vụ (sự cố thiết bị và sự cố hệ thống):

Một ổ cứng OEM 5400 RPM nhất định, được xuất xưởng cùng với máy tính xách tay vào khoảng năm 2005, cho phép những kẻ tấn công ở gần gây từ chối dịch vụ (sự cố thiết bị và sự cố hệ thống) thông qua một cuộc tấn công tần số cộng hưởng với tín hiệu âm thanh từ video nhạc Rhythm Nation .

Ngay cả trong một thế giới mà ổ cứng thể rắn (SSD, thường vẫn được gọi là đĩa, mặc dù chúng không có các bộ phận hình tròn, chứ đừng nói đến các bộ phận xoay) phổ biến, bạn vẫn có thể mua các đĩa cứng cũ có các bộ phận chuyển động, thường chạy ở tốc độ 5400 vòng / phút, 7200 vòng / phút và thậm chí 10,000 vòng / phút.

Ổ cứng cũ thường cung cấp dung lượng cao hơn nhiều với mức giá thấp hơn nhiều so với SSD, nhưng chúng hiếm khi được tìm thấy trong các máy tính xách tay hạng thương gia ngày nay, vì chúng chậm hơn, thường đòi hỏi nhiều năng lượng hơn và không gây sốc- bằng chứng như những người anh em họ đã chuyển nhượng của họ.

Phải làm gì?

Đến lượt mình, liệu SSD có dễ bị ảnh hưởng bởi âm nhạc tập trung vào các dải tần số hoặc biên độ khác hay không, chúng tôi không thể nói.

Trong khi R & B có thể là gót chân Achilles của các thiết bị lưu trữ đa phương tiện xoay vào đầu những năm 2000, có lẽ lớn hơn nhưng được điều chỉnh thấp hơn, "nhạc mã" kiểu cũ, cuối cùng có thể chứng tỏ là quá nhiều cho bộ lưu trữ máy tính xách tay thể rắn kỹ thuật số hoàn toàn. ?

Chúng tôi không mong đợi người hâm mộ của các ban nhạc như Melvins, Ngủ, chúa độc tôn và tương tự như thế chấp nhận rủi ro thử nghiệm không cần thiết với máy tính xách tay của riêng họ.

Nhưng nếu ai đó biết về bất kỳ sự cố gắng nặng nề nào có thể được biến thành khai thác…

---

[Nhúng nội dung]

[Nhúng nội dung]

[Nhúng nội dung]

… Họ có thể đủ điều kiện cho các số CVE, mặc dù chúng tôi không biết nơi lỗ hổng loại này sẽ phù hợp với MITER ATT & CK Công cụ, Mẹo và Thủ tục khuôn khổ.

Đề nghị trong các ý kiến, xin vui lòng!

---