多年以來，安全專家常常調侃説，任何筆記本電腦如果與黑客呆在一起超過幾分鐘，都應該被視為受到威脅。現在，一位荷蘭研究人員展示瞭如何在超通用組件中實現這種物理訪問黑客攻擊：因為數百萬台PC 中都配備了英特爾的Thunderbolt雷電端口。
最新研究表明，英特爾的Thunderbolt端口容易受到Thunderspy的攻擊
埃因霍温科技大學研究員比約恩·魯伊滕貝格透露了他稱為Thunderspy的新攻擊方法的細節。在2019年之前生產的啓用Thunderbolt的Windows或Linux PC上，該技術可以繞過睡眠或鎖定的計算機的登錄屏幕（甚至包括硬盤加密），以獲得對計算機數據的完全訪問權限。而且，儘管他的攻擊在許多情況下都需要使用螺絲刀打開目標筆記本電腦的外殼，但沒有留下任何入侵痕跡，可以在短短几分鐘內將電腦搞定。任何黑客稍加學習都可以對電腦構成威脅，沒有簡單的軟件修復程序，只能完全禁用Thunderbolt端口。
“所需要做的就是擰開背板，暫時連接設備，重新編程固件，重新安裝背板，然後就可以完全使用筆記本電腦了，”魯伊滕貝格説：“所有這些可以在五分鐘之內完成。”
這些“安全級別”為零的PC
長期以來，安全研究人員一直在警惕英特爾的Thunderbolt接口是潛在的安全問題。它提供了更快的數據傳輸到外部設備的速度，部分原因是允許比其他端口更直接地訪問計算機的內存，但這可能會導致安全漏洞。例如，去年一組研究人員發現了一系列稱為Thunderclap的 Thunderbolt組件中的缺陷，這些缺陷表明，將惡意設備插入計算機的Thunderbolt端口可以迅速繞過其所有安全措施。
hunderspy 屬於 evil-maid 攻擊類別，這意味着它需要對設備進行物理訪問才能對其進行攻擊，因此與可以遠程執行的其他攻擊相比，它的利用程度較低。但是另一方面，Thunderspy 還是一種隱身攻擊，在成功執行入侵之後，犯罪分子幾乎不會留下任何利用的痕跡。
作為一種補救措施，這些研究人員建議用户利用被稱為“安全級別”的Thunderbolt功能，禁止訪問不受信任的設備，或者甚至在操作系統設置中完全關閉Thunderbolt。將易受攻擊的端口變成純粹的USB和顯示端口。但是魯伊滕貝格的新技術允許攻擊者甚至繞過那些安全設置，更改負責Thunderbolt端口的內部芯片的固件，並更改其安全設置以允許訪問任何設備，而且這樣做不會創建任何對計算機操作系統可見的修改證據。
埃因霍温科技大學密碼學教授，魯伊滕貝格的Thunderspy研究顧問説：“英特爾本意是建立一座安全堡壘，但被攻破了。” 在去年的Thunderclap研究之後，英特爾還創建了一種稱為內核直接內存訪問保護的安全機制，該機制可防止Ruytenberg的Thunderspy攻擊。但是2019年之前製造的所有計算機都缺少內核DMA保護，並且今天仍然不是標準的。
實際上，2019年之前製造的許多Thunderbolt外設均與內核DMA保護不兼容。在測試中，埃因霍温研究人員沒有發現具有內核DMA保護的戴爾機器，包括2019年或以後的機器，並且他們只能驗證2019年以後的HP和Lenovo型號是否使用了該機器。有趣的是，運行Apple MacOS的計算機不受影響。魯滕貝格還發布了一種工具可以確定用户的計算機是否容易受到Thunderspy攻擊，以及是否可以在計算機上啓用內核DMA保護。
成本極低的黑客攻擊手段
如圖所示，擰開筆記本電腦的底部面板訪問Thunderbolt控制器，然後將SPI編程器設備與SOP8夾相連，該夾旨在將硬件固定在控制器的引腳上。然後， SPI程序員重寫了芯片的固件（在Ruytenberg的視頻演示中花費了兩分鐘多一點），實際上關閉了其安全設置。
魯伊滕貝格説：“我分析了固件，發現它包含控制器的安全狀態。” “因此，我開發了將安全狀態更改為'無'的方法。因此，基本上禁用了所有安全性。” 然後，攻擊者可以將設備插入Thunderbolt端口，從而更改其操作系統以禁用其鎖定屏幕，即使該設備正在使用全盤加密也是如此。
他説，在演示視頻中顯示的全面攻擊僅使用了價值約400美元的設備，但需要一個SPI編程器設備和一個200美元的外設，可以將其插入Thunderbolt端口以執行繞過鎖的直接內存攻擊。屏幕，就像Ruytenberg使用的AKiTiO PCIe擴展盒一樣。但他認為，資金更充裕的黑客可以將整個安裝程序組裝到一個小型設備中，價格約為10000美元。
著名的硬件安全研究員，SR Labs的創始人卡爾斯滕·諾爾説，雷電仍然是物理攻擊的可行方法，這一事實並非完全意外。他説，考慮到它需要一定程度的複雜性和對受害者機器的物理訪問，它也不會嚇到太多用户。儘管如此，他仍然驚訝地看到英特爾的“安全級別”可以輕易被繞過，這讓他感到驚訝。
Thunderspy攻擊還有一種侵入性較小的版本，但是它需要訪問用户在某個時候插入計算機的Thunderbolt外圍設備。被目標計算機設置為“可信”的Thunderbolt設備包含一個64位代碼，可以訪問該代碼並將其從一個小工具複製到另一個小工具。這樣，甚至無需打開外殼即可繞過目標設備的鎖定屏幕。但是，只有將Thunderbolt端口的安全設置配置為允許受信任設備的默認設置時，該版本的Thunderspy攻擊才有效。
魯伊滕貝格三個月前與英特爾分享了他的發現，後者表示，正如研究人員所説，內核DMA保護可以阻止攻擊。雖然潛在的漏洞不是新的，但研究人員使用定製的外圍設備展示了新的物理攻擊媒介。（研究人員認為該漏洞實際上是新漏洞，他們的攻擊僅使用現成的組件。）“對於所有系統，我們建議您遵循標準的安全慣例，”英特爾補充道，“包括僅使用可信任的外圍設備和防止未經授權對計算機進行物理訪問。”
無法修補的缺陷
惠普發表的一份聲明中表示，惠普將通過“大多數支持Sure Start Gen5及更高版本的惠普商用PC和移動工作站產品”中的Thunderbolt端口提供針對直接內存攻擊的保護，其中包括自2019年初以來已啓動的系統。該公司補充説：“惠普是唯一一家通過內部卡（PCI）和Thunderbolt設備提供針對DMA攻擊的保護的計算機制造商。”
聯想表示，“正在與我們的合作伙伴一起評估這項新研究，並將酌情與客户溝通。” 三星未回應置評請求。戴爾在一份聲明中表示：“關注這些威脅的客户應遵循最佳安全做法，並避免將未知或不受信任的設備連接到PC端口。”
魯伊滕貝格指出，他發現的缺陷擴展到了英特爾的硬件，而不能僅僅通過軟件更新來解決。他説：“基本上，他們將不得不重新設計硅片。”他説，偏執的用户可能希望在計算機的BIOS中完全禁用其Thunderbolt端口，儘管這樣做的過程對於每台受影響的PC都會有所不同。除了在BIOS中禁用Thunderbolt之外，用户還需要啓用硬盤加密，並在無人看管時完全關閉計算機，以得到全面保護。
當然，多年來行業內都發生過計算機漏洞襲擊。以固件為中心的安全公司，例如Eclypsium，已經演示了使用BIOS漏洞對Windows機器進行五分鐘的物理訪問黑客攻擊，而WikiLeaks的Vault7版本包括有關CIA工具的信息，這些工具旨在通過物理訪問技術來入侵Mac的固件。
但是這兩種攻擊都是基於可以修補的漏洞，CIA的攻擊在2017年泄漏的消息被阻止。另一方面，Thunderspy對於數百萬台計算機來説既未修補也無法修補。這些計算機的所有者現在可能需要升級到已安裝內核DMA保護的模型，但市場上還有龐大未更新的機型處於危險狀態之中，此漏洞還會影響到未來的USB 4和Thunderbolt 4等標準，最終需要對芯片進行重新設計。