Máme se bát hackování čipů?

Zájem hackerů o napadení hardwaru a jeho firmwaru zatím není velký, ale to se může velmi brzy změnit. Přinášíme šest klíčových důvodů, proč právě toto prostředí může být pro hackery tak atraktivní.

1. Na úrovni čipu se bude řídit větší část zabezpečení

V rámci vedení iniciativ Trustworthy Computing Group je stále větší část zabezpečení počítačů řízena a zajišťována na úrovni čipů.

Jde například o čipy TPM (Trusted Platform Module), které jsou nyní již téměř v každém počítači, disky OPAL šifrující svůj obsah, UEFI (Unified Extensible Firmware Interface), hardwarově založené hypervizory, jako jsou například virtualizační technologie společnosti Intel (VT-x) a virtualizace společnosti AMD (AMD-V), a mnoho dalších technologií založených na čipech a firmwaru od dodavatelů a výrobců čipů.

Zabezpečení stále častěji začíná na úrovni čipů. Microsoft třeba používá čipy pro hardwarovou virtualizaci u své technologie virtuálních strojů Hyper-V. Zabezpečení založené na hardwaru je základem mnoha jejích nejnovějších ochranných technologií, mezi které patří Device Guard, Credential Guard nebo AppGuard.

Očekávejte, že většina dodavatelů operačních systémů a čipů nabídne v budoucnu ještě vyšší stupeň zabezpečení založené na hardwaru.

Hlavním důvodem, proč roste bezpečnost založená na hardwaru, je skutečnost, že se zapíná v rámci fungování počítače dříve. Čím blíže je zabezpečení k elektronickým součástkám, tím těžší je pro hackery a malware dostat se mu do cesty, vypnout ho nebo nad ním převzít kontrolu.

Při snaze porazit zabezpečení založené na hardwaru a získat přístup k chráněným aplikacím a datům musejí hackeři a jejich malware stále více útočit přímo na hardware.

2. Hackování hardwaru je multiplatformní

Přestože je většina počítačů vybavena předinstalovaným operačním systémem, mohou provozovat více platforem. Například na notebooku s Windows 10 mohou běžet i Linux, BSD a mnoho dalších variant Unixu. Počítače Apple často využívají systém Windows prostřednictvím virtualizačního softwaru.

Zranitelnost založená na hardwaru často poskytne hackerovi či malwaru kontrolu ještě předtím, než se začne operační systém starat o zabezpečení, což znamená, že lze obejít libovolné prvky zabezpečení OS.

Přestože vytvoření malwaru, který by dokázal využít zranitelnost hardwaru v různých operačních systémech, stále představuje obrovský problém, je schopnost obejít ochranu různých operačních systémů pro každého hackera obrovskou výzvou.

3. Programátoři čipů jsou stejně špatní v bezpečném programování jako programátoři softwaru

Programátoři jsou obecně zřídkakdy řádně vyškolení pro psaní bezpečného kódu. Po desetiletích tvrdých lekcí o tom, jak je bezpečnostní programování důležité pro celý vývojový cyklus, většina programátorů dostala jen minimální odpovídající školení.

U hardwarové vrstvy se toho o zabezpečení naučili programátoři a týmy ještě méně. Souvisí to mimo jiné se skutečností, že na hardware dnes není tolik útoků jako na software, a tak je celkové riziko nižší.

Tento nedostatek výcviku znamená, že hardware i firmware jsou plné chyb, které čekají na zneužití. Současně s růstem počtu tranzistorů a logických obvodů v čipech stoupá také počet instrukcí a řádků kódu obsažených ve firmwaru.

Jak se zvyšuje počet řádků kódu, roste i počet chyb. Není pochyb o tom, že dnešní čipy jsou plné snadno zneužitelných chyb, které jen čekají na odhalení.

Podívejte se na detaily exploitu Intel. Jakýkoli řetězec znaků, který jste vložili jako autentizační hash, fungoval stejně jako skutečný hash, což umožňuje získání kompletní kontroly na úrovni administrátora. Není jisté, jestli tak strašná zranitelnost byla kdy v softwaru.

4. Čipová monokultura

Po celosvětové konsolidaci během posledních několika let vyrábí v současnosti čipy jen pár firem. A jejich produkty se objevují ve stále větším počtu zařízení. Existuje tedy více čipů ve více řešeních s menšími variacemi. A hackeři milují rostoucí monokultury. Znamená to, že mohou něco napsat a úspěšněji to používat ve větším počtu zařízení a operačních systémů.

Například UEFI (Unified Extensible Firmware Interface) je přítomný ve většině počítačů a rostoucím počtu zařízení jako náhrada za tradiční BIOS.

Přestože se toto řešení částečně vytvořilo kvůli ztížení hackování firmwaru (obsahuje mnoho funkcí na ochranu proti hackování), dostalo UEFI také malé jádro podobné linuxovému kernelu, které vypadá jako obvyklý linuxový bash shell. Jádro UEFI nabízí velké možnosti a je podobné i sdílené ve všech implementacích UEFI.

Zní to jako potenciální recept na katastrofu. UEFI nás má chránit před snadným hackováním firmwaru a je jistě bezpečnější, než byl BIOS, ale velká monokultura může být nakonec mnohem problematičtější než staré zranitelnosti, které vyřešila.

5. Hacking hardwaru je stále běžnější

Internet věcí (IoT) stále více přitahuje hackery k hackování čipů a věcí, které nevypadají jako tradiční počítače. Dnes si hackeři uvědomují, že zařízení IoT jsou jen malé počítače s operačními systémy se spoustou čipů, takže je studují a hackují.

Rodiče a jejich děti už běžně kupují hardwarové sady, jako jsou Raspberry Pi a Arduino. To vše rozšiřuje obzory běžných lidí i hackerů v oblasti možností a způsobů hackování. Hackeři budoucnosti budou mnohem méně odrazováni od hackování hardwaru a firmwaru.

6. Hardware se záplatuje méně často

Přestože firmware a hardware často obsahují zranitelná místa, dokonce i veřejně známá zranitelná místa – a dodavatelé se nesnaží je opravovat tak často. Dokonce i když dodavatel opravu vytvoří, většina vlastníků ji nepoužije.

Většinou si totiž ani neuvědomují, že takové věci jako zranitelná místa ve firmwaru a hardwaru existují, a i když si toho jsou vědomi, většina tomu nepřikládá odpovídající důležitost.

Kolik z vás čtenářů například vědělo o chybě firmwaru Intelu, která byla zmíněna na začátku tohoto článku? Kolik si stáhlo nástroj pro kontrolu a kolik instalovalo opravu? Takže teď víte, co mám na mysli.

To vše dělá z čipů a firmwaru další funkčně bohaté prostředí, na které mohou hackeři útočit. Naštěstí lze komponenty firmwaru opravovat stejně snadno, jako se instaluje patch na běžný software – spustíte aktualizaci softwaru dodavatele, která updatuje firmware nebo další podpůrné instrukce.

Připravenost

Jedna z nejlepších věcí, kterou každý může udělat pro svou připravenost, je uvědomit si, že firmware a hardware lze hackovat a že se bude hackovat i v budoucnu. Naštěstí teď je hezké nezamýšlené období odpočinku, kdy se zlomyslní hackeři na firmware a hardware nesoustředí, protože jejich hackování klasického softwaru funguje poměrně dobře.

S tím, jak začnou hardwarové bezpečnostní čipy ztěžovat zneužití softwarových zranitelností, bude pro hackery jedinou cestou k úspěchu útočit na hardware a firmware častěji. Čeká nás to. Užijte si dosavadní pauzu v této činnosti a připravte se.

Nejjednodušší způsob, jak se připravit, je aktualizovat pokyny a zásady pro instalaci oprav, tak aby se týkaly také hardwaru a firmwaru. (Už to je v příručkách pro instalaci oprav). Takže reagovali jste na oznámení o zranitelnosti řešení Intel? Opravili jste vše, co potřebovalo opravu? Většina lidí to totiž neudělala.

Tento příspěvek vyšel v Security Worldu 2/2017. Časopis (starší čísla i předplatné těch nadcházejících) si můžete objednat na adrese našeho vydavatelství.