从安全的角度看彭博间谍芯片报道的真实性
本文来源为“西雅图雷尼尔”,授权转载。
前言
今天纠结了很久,要不要写这个敏感的话题。但是我想了想还是写吧,真正懂这块的人不太多,愿意拿出来讲的更少 。我虽然早已离开安全行业,但我是少数了解secureboot,UEFI,fuse 等技术,又对电路也比较熟悉,又有合适平台发表独立观点的人,所以还是简单从安全的角度说一下,说句公道话。
简单来说,我的判断是彭博社对于间谍芯片的报道是完全没有根据的,至少是夸大了无数倍的虚假报道。
依据有两点:
1.芯片需要工作,需要有合适的供电,需要有合适的逻辑控制单元。很难在不被发现的情况下,加一个芯片。
2.即便是rootkit了服务器,大量高安全级别的网络是和外网做隔离的。无法接收或者传送有效的情报。即便有APT攻击的配合,难度非常非常大,以至于这条路不太现实。
间谍软件迄今为止的最高水平:Lojax
先说说,迄今为止实战中水平最高的间谍软件Lojax。这个恶意软件感染系统后,即便你重装系统,甚至换硬盘也没有用。关于这个划时代的rootkit,国内的安全界报道非常少。
尽管在blackhat这种安全会议中,研究人员已经讨论了很久BIOS rootkit/ ACPI Rootkit/ UEFIrootkit的可行性,但是由于难度太大,实际上从来没有在真实环境中发现过这种类型的恶意软件。这次Lojax的发现是第一次在野外环境发现UEFIrootkit,开启了UEFI rootkit的新时代。
(下面是一些技术细节,不懂就直接跳过)
首先初步介绍一下,UEFI是替换传统bios的一套firmware接口服务,现在新电脑一般都是UEFI。
▲UEFI的工作流程
▲如果UEFI 打开了secure boot的模式,理论上能保证系统的安全
最近发现的Lojax rootkit应该是一个名叫Sednit 组织(又名 APT28、STRONTIUM、Sofacy、或 Fancy Bear背后是俄罗斯)用于攻击巴尔干和欧洲中东部的政府机构。
这个恶意软件利用非常娴熟和精湛的技术,利用正规的RWEverything系统信息软件或者uefiinfo或者系统的firmware版本,然后再从SPI闪存模块中将UEFI的原始firmware给读出来,然后再把病毒插进原始的firmware,接着再将携带病毒的副本写回到SPI闪存。
▲将rootkit写进SPI的流程
▲SPI存储芯片位置和大小
如果管理员没有打开secure boot的选项,这种恶意软件直接就可以将恶意软件写进去SPI。
如果系统管理员把secureboot打开了,就难了很多。因为UEFI在装载各个模块的时候都会检查签名,如果文件被动过手脚很容易发现问题。而且如果打开secureboot,通常是SPI写保护的。恶意软件没法把加料的固件写回到SPI中去。
如果固件的版本比较老,这个恶意软件会利用一个已知的安全漏洞利用race condition来把恶意软件写道到SPI闪存里,该漏洞是UEFI很久之前的漏洞。
至此,恶意软件就常驻在主板的这个小小SPI存储器中,无论你重装系统,还是换硬盘,都不会对这个病毒产生任何影响。研究者称,要根除这个恶意软件办法只有一个,就是重新擦写SPIflash,这个对于普通人来讲,甚至普通公司的IT来讲都是非常困难的事情。或者更新UEFI固件,UEFI固件会重新擦写SPIflash的整个BIOS区域。前提是UEFI更新会擦除干净感染的BIOS区域。如果更新固件都搞不定,那只有更换主板这一条路了。
▲研究论文中的结论
这已经是迄今为止,最最牛逼的间谍软件了。
漏洞百出的彭博社指控
PCB虽然密布芯片和线路,但是没有一个是多余的。
芯片不是外星产物,芯片是逻辑,是电路。是电路就需要供电,就需要走线,你不改原理图,不改PCB版图,如何安装一个额外的芯片?要知道主板级别的电路板上,最简单的都是4层,6层。服务器的有8层,10层。走一根电源线,要知道动多少线路么?这跟用口香糖粘一个窃听器完全是两码事。
不要说多加一个芯片,哪怕是多加了一个电容,回来审板的人肯定会发现。根本到不了PVT就露馅了。
仅仅用一个rootkit,搞不定高安全级别,外网隔离的系统。
从彭博社的指控来看,在主板上加这么一个小芯片就能突破系统的secure boot,攻破系统,然后窃取商业机密。
我们假设,仅仅是假设,超微的主板设计人员,整个团队都被买通了,在板子上加了一个模块,然后这个模块类似于Lojax一样,在SPI里面保留了一块连刷UEFIfirmware都不会刷掉的超级rootkit,而且这个rootkit还被签名了。
也就是说即便给这个rootkit开了挂,即便在2018年想利用这样的rootkit控制高安全级别的系统,与外网隔离的系统也是不现实的(彭博社的报道说这个事情发生在更早的2015年以前,更加不太可能)。前面讲了这么牛逼的lojaxrootkit是当今rootkit的最高水平,现在看到的这个rootkit也仅仅是针对Windows系统,也仅仅是针对非物理隔离的计算机网络。
而无论是Amazon还是Apple,还是CIA还是其他安全部门,操作系统各不相同(大部分都是unix内核的系统),你很难做到仅仅靠一个rootkit搞定所有的系统,而且是搞定跟外网隔离的系统,搞定所有流量都会受到审计的系统。(你的rootkit想去外面下载一个木马都没法下的)
即便我们站在2018看,设计这样一套突破secure boot并实现彭博社新闻中功能的rootkit也是不太现实的。
Apple和Amazon都发表了措辞严厉的文章,批评彭博社发表不负责任的报道。
结语
我这篇文章是纯粹从技术实现的角度和rootkit最新技术水平的角度,分析彭博社报道的真实性。
美国媒体最近几年被川普痛斥为FakeNews是不无道理的。彭博社的这篇报道中存在着大量的猜测和假想。在hack的原理解释方面也非常不专业,完全是糊弄。这么一个非常严肃的大新闻,处理的非常不专业。在twitter上很多安全人士都表示这篇文章存在太多太多的漏洞和不准确之处,没有安全背景,没有工程实践经验。
而市场对这篇文章的反应也很激烈,超微直接跌去近一半市值。联想受影响,今天股价也跌去15%。(非常鄙视联想,急急忙忙跳出来说,我们没有用超微的主板。可笑你联想能生产高品质服务器么,你产品能进高安全的环境么)。
这篇文章虽然是假新闻,但是会对电子产业链产生深远的影响。继纽约时报之后,彭博社的牌坊也倒了,现在还能看的也就剩WSJ了。
本文来源为“西雅图雷尼尔”,授权转载。
推荐系统
番茄花园 Windows 10 极速企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言:中文版系统大小:3.98GB系统类型:Win10番茄花园 Windows 10 32位极速企业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动激活
新萝卜家园电脑城专用系统 Windows10 x86 企业版 版本1507 2022年7月(32位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10新萝卜家园电脑城专用系统 Windows10 x86企业版 2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程
笔记本&台式机专用系统 Windows10 企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言:中文版系统大小:3.98GB系统类型:Win10笔记本台式机专用系统 Windows 10 32位企业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过
笔记本&台式机专用系统 Windows10 企业版 版本1903 2022年7月(64位) 提供下载
语言:中文版系统大小:3.98GB系统类型:Win10笔记本台式机专用系统 Windows10 64专业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的专业版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动
雨林木风 Windows10 x64 企业装机版 版本1903 2022年7月(64位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10新雨林木风 Windows10 x64 企业装机版 2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动激活
深度技术 Windows 10 x64 企业版 电脑城装机版 版本1903 2022年7月(64位) 高速下载
语言:中文版系统大小:3.98GB系统类型:Win10深度技术 Windows 10 x64 企业TLSB 电脑城装机版2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程
电脑公司 装机专用系统Windows10 x64 企业版2022年7月(64位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10电脑公司 装机专用系统 Windows10 x64 企业TLSB版2022年7月一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过
新雨林木风 Windows10 x86 企业装机版2022年7月(32位) ISO镜像高速下载
语言:中文版系统大小:3.15GB系统类型:Win10新雨林木风 Windows10 x86 专业版 2022年7月 一、系统主要特点: 使用微软Win10正式发布的专业版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动激活系统,无
相关文章
- 卡巴斯基发布2018年威胁预测,威胁情报共享成网络安全新趋势
- 以“公众安全”为由?五眼联盟联合印度日本呼吁科技公司开加密后门
- 网络连接正常无法上网的原因及解决办法
- 世界最大黄网要用 AI “鉴黄”,还号称要让鉴黄师下岗
- 数据安全法(草案)》出台,对企业有何影响?
- 在Windows 7无法设定网络位置的解决方法
- 电脑插入U盘后蓝屏的原因和解决办法
- 如何破解MassLogger使用的反分析策略
- 玩转混合加密
- 一天抵挡 22 亿次攻击!揭秘阿里安全基建全版图
- 有线电视的用户信息,成为美国黑客的新目标
- windows xp系统文字输入法不可以切换的解决办法
- 补天漏洞平台白健:有关白帽子那些事儿 | 硬创公开课预告
- 黑客利用跨站实现HTTP会话劫持
热门系统
- 1华硕笔记本&台式机专用系统 GhostWin7 32位正式旗舰版2018年8月(32位)ISO镜像下载
- 2雨林木风 Ghost Win7 SP1 装机版 2020年4月(32位) 提供下载
- 3深度技术 Windows 10 x86 企业版 电脑城装机版2018年10月(32位) ISO镜像免费下载
- 4电脑公司 装机专用系统Windows10 x86喜迎国庆 企业版2020年10月(32位) ISO镜像快速下载
- 5深度技术 Windows 10 x86 企业版 六一节 电脑城装机版 版本1903 2022年6月(32位) ISO镜像免费下载
- 6深度技术 Windows 10 x64 企业版 电脑城装机版2021年1月(64位) 高速下载
- 7新萝卜家园电脑城专用系统 Windows10 x64 企业版2019年10月(64位) ISO镜像免费下载
- 8新萝卜家园 GhostWin7 SP1 最新电脑城极速装机版2018年8月(32位)ISO镜像下载
- 9电脑公司Ghost Win8.1 x32 精选纯净版2022年5月(免激活) ISO镜像高速下载
- 10新萝卜家园Ghost Win8.1 X32 最新纯净版2018年05(自动激活) ISO镜像免费下载
热门文章
常用系统
- 1笔记本系统Ghost Win8.1 (32位) 极速纯净版2019年4月(免激活) ISO镜像免费下载
- 2华硕笔记本&台式机专用系统 Windows10 装机正式版下载 2018年8月(64位)
- 3笔记本&台式机专用系统 GhostWin7 32位元旦特别 旗舰版2021年1月(32位) ISO镜像免费下载
- 4新萝卜家园 Ghost Win7 x64 SP1 极速版2019年5月(64位) 高速下载
- 5深度技术 GHOSTXPSP3 六一节 电脑城极速装机版 2020年6月 ISO镜像高速下载
- 6深度技术Ghost Win8.1 x64 纯净版2018年04(完美激活) ISO镜像快速下载
- 7笔记本&台式机专用系统 GhostWin7 32位旗舰版装机版2018年8月(32位)ISO镜像下载
- 8番茄花园 Windows 10 官方企业版 版本1903 2022年5月(64位) ISO高速下载
- 9新雨林木风 Windows10 x86 企业装机版2021年2月(32位) ISO镜像高速下载
- 10笔记本&台式机专用系统 GhostWin7 32位旗舰版2022年3月(32位) ISO镜像免费下载