ข้าม BitLocker บนโน้ตบุ๊ก Lenovo ด้วย logic analyzer ราคาประหยัด

 (errno.fr)
1 คะแนน โดย GN⁺ 2023-08-25 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • บทความเกี่ยวกับวิธีข้าม BitLocker ซึ่งเป็นฟีเจอร์เข้ารหัสทั้งโวลุมของ Microsoft Windows บนโน้ตบุ๊ก Lenovo โดยใช้ logic analyzer ราคาประหยัด
  • คีย์เข้ารหัสทั้งโวลุม (FVEK) ของ BitLocker จะถูกเข้ารหัสด้วย volume master key (VMK) และจัดเก็บไว้บนดิสก์ โดย VMK จะถูกเก็บไว้ใน trusted platform module (TPM) เพื่อให้ถอดรหัสดิสก์ได้เฉพาะเมื่อบูตบนคอมพิวเตอร์เครื่องเดิมเท่านั้น
  • ช่องโหว่อยู่ที่ระหว่างกระบวนการบูตนั้น VMK ถูกส่งระหว่าง TPM กับ CPU ในสถานะที่ไม่ได้เข้ารหัส ทำให้สามารถดักจับและนำไปใช้ถอดรหัสดิสก์ได้
  • ผู้เขียนใช้ logic analyzer รุ่น DSLogic Plus ที่ซื้อมาในปี 2021 ในราคาไม่ถึง 100 ดอลลาร์เพื่อดักจับการแลกเปลี่ยนข้อมูลของ TPM
  • บัส SPI (Serial Peripheral Interface) ถูกสุ่มตัวอย่างที่ความถี่อย่างน้อย 100MHz เพื่อให้เก็บสัญญาณได้อย่างเสถียร
  • พบว่าคีย์ VMK ถูกใช้งานในช่วงท้ายของขั้นตอน POST หรือราว 14 วินาทีหลังเริ่มกระบวนการบูต
  • สัญญาณที่ดักจับได้ถูกถอดรหัสใน 3 ชั้น ได้แก่ SPI, TIST (TPM Interface Specification) และ TPM 2.0
  • คำสั่ง TPM ที่ร้องขอให้คืนค่าคีย์คือคำสั่ง TPM2_Unseal และถูกใช้เพื่อดึง VMK ออกมา
  • จากนั้นดิสก์ถูกเมานต์ และติดตั้งแบ็กดอร์ด้วยการเขียนทับโปรแกรม Sticky Keys ด้วย cmd ซึ่งจะให้ SYSTEM shell เมื่อกดปุ่ม Shift ห้าครั้งระหว่างการบูต
  • ผู้เขียนชี้ว่าการใช้ DSLogic สำหรับงานนี้ค่อนข้างท้าทาย เพราะการดักจับหลายครั้งมีคุณภาพไม่ดี และความถี่การสุ่มตัวอย่างก็เพียงพอแค่ให้ได้สัญญาณนาฬิกาที่สม่ำเสมอ
  • บทความสรุปว่าการใช้ TPM แบบแยกชิ้นส่วน (physical TPM) ไม่ได้ช่วยเพิ่มความปลอดภัยของระบบอย่างที่คาดไว้ แต่กลับสร้างภาพลวงตาด้านความปลอดภัยแทน โดยแนวทางป้องกันการโจมตีนี้คือใช้ firmware TPM (fTPM) หรือกำหนด PIN หรือรหัสผ่านให้กับ BitLocker

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2023-08-25
ความคิดเห็นจาก Hacker News
  • มีการพูดคุยเกี่ยวกับช่องโหว่ของ Bitlocker ซึ่งเป็นเครื่องมือเข้ารหัสดิสก์ของ Microsoft และความเป็นไปได้ในการโจมตีบนโน้ตบุ๊ก Lenovo โดยใช้ลอจิกอะนาไลเซอร์ราคาถูก
  • Bitlocker ไม่ได้ใช้เซสชันที่เข้ารหัส จึงเสี่ยงต่อการโจมตีแบบ Man-in-the-Middle (MITM)
  • Microsoft สามารถแก้ปัญหานี้ได้โดยการทำ TPM2_StartAuthSession และกำหนดให้มีการเข้ารหัสในแต่ละคำสั่งของเซสชัน
  • ผู้ผลิตโน้ตบุ๊กบางรายมีตัวเลือกให้ล้าง Trusted Platform Module (TPM) หากตัวเครื่องถูกเปิดออก ซึ่งอาจสร้างปัญหาให้ผู้ใช้ที่ไม่สามารถเข้าถึงคีย์หรือข้อมูลสำรองของ Bitlocker ได้
  • เอกสารของ Microsoft แนะนำให้ตั้งค่า PIN สำหรับ Bitlocker เพื่อป้องกันการโจมตีลักษณะนี้ เนื่องจาก TPM ช่วยป้องกันการโจมตีแบบ brute-force
  • การเข้ารหัสของ Bitlocker มีประสิทธิภาพเมื่อมีการถอดฮาร์ดดิสก์ออกจากโน้ตบุ๊กแล้วนำไปใช้งานบนระบบอื่น
  • คีย์ถอดรหัสเคลื่อนผ่านบัสที่ใช้ร่วมกัน ทำให้ทุกองค์ประกอบของระบบอาจดักจับคีย์ได้ และก่อให้เกิดความเสี่ยงด้านความปลอดภัยของซัพพลายเชน
  • เพื่อป้องกันการโจรกรรม ผู้ใช้ควรตั้งรหัสผ่านสำหรับ Bitlocker และปิดการใช้โหมดที่ไม่ใช่การปิดเครื่องแทนการพักเครื่อง
  • เทคนิคแบบเดียวกันที่ใช้โจมตีช่องโหว่ของ Bitlocker นี้เคยถูกอธิบายไว้แล้วในปี 2021
  • ผู้ใช้บางคนมองว่าเป็นเรื่องน่าขันที่วิธีเก่า ๆ ในการข้ามมาตรการความปลอดภัยของ Windows ยังใช้ได้อยู่ ซึ่งบ่งชี้ว่าความปลอดภัยของ Windows ส่วนใหญ่เป็นเพียงภาพลวงตา