Κίνδυνος για δεδομένα: Η RAMBO επίθεση στους υπολογιστές με διάκενο αέρα

Μια νέα επίθεση πλευρικού καναλιού που ονομάζεται “RAMBO” (Radiation of Air-gapped Memory Bus for Offense) παράγει ηλεκτρομαγνητική ακτινοβολία από τη μνήμη RAM μιας συσκευής για την αποστολή δεδομένων από υπολογιστές με διάκενο αέρα.

Τα συστήματα με διάκενο αέρα, που χρησιμοποιούνται συνήθως σε κρίσιμα για την αποστολή περιβάλλοντα με εξαιρετικά υψηλές απαιτήσεις ασφαλείας, όπως κυβερνήσεις, οπλικά συστήματα και πυρηνικοί σταθμοί, είναι απομονωμένα από το δημόσιο Διαδίκτυο και άλλα δίκτυα για την πρόληψη μολύνσεων από κακόβουλο λογισμικό και κλοπής δεδομένων.

Αν και αυτά τα συστήματα δεν είναι συνδεδεμένα σε ένα ευρύτερο δίκτυο, μπορούν και πάλι να μολυνθούν από αδίστακτους υπαλλήλους που εισάγουν κακόβουλο λογισμικό μέσω φυσικών μέσων (μονάδες USB) ή εξελιγμένες επιθέσεις στην αλυσίδα εφοδιασμού που πραγματοποιούνται από κρατικούς παράγοντες.

Το κακόβουλο λογισμικό μπορεί να λειτουργεί κρυφά για να διαμορφώνει τα στοιχεία RAM του συστήματος με διάκενο αέρα με τρόπο που να επιτρέπει τη μεταφορά μυστικών από τον υπολογιστή σε έναν κοντινό παραλήπτη.

Η πιο πρόσφατη μέθοδος που εμπίπτει σε αυτή την κατηγορία επιθέσεων προέρχεται από ισραηλινούς ερευνητές πανεπιστημίου με επικεφαλής τον Mordechai Guri, έναν έμπειρο εμπειρογνώμονα στα κανάλια κρυφών επιθέσεων που ανέπτυξε προηγουμένως μεθόδους διαρροής δεδομένων χρησιμοποιώντας LED κάρτας δικτύου, σήματα RF μονάδας USB, καλώδια SATA και τροφοδοτικά .

Πώς λειτουργεί η επίθεση RAMBO

Για να πραγματοποιήσει την επίθεση Rambo, ένας εισβολέας εγκαθιστά κακόβουλο λογισμικό στον υπολογιστή με διάκενο αέρα για να συλλέξει ευαίσθητα δεδομένα και να τα προετοιμάσει για μετάδοση. Μεταδίδει τα δεδομένα χειραγωγώντας τα μοτίβα πρόσβασης στη μνήμη (λειτουργίες ανάγνωσης/εγγραφής στο δίαυλο μνήμης) για τη δημιουργία ελεγχόμενων ηλεκτρομαγνητικών εκπομπών από τη μνήμη RAM της συσκευής.

Αυτές οι εκπομπές είναι ουσιαστικά υποπροϊόν του κακόβουλου λογισμικού που αλλάζει γρήγορα ηλεκτρικά σήματα (On-Off Keying “OOK”) στη μνήμη RAM, μια διαδικασία που δεν παρακολουθείται ενεργά από προϊόντα ασφαλείας και δεν μπορεί να επισημανθεί ή να σταματήσει.

Τα εκπεμπόμενα δεδομένα κωδικοποιούνται σε “1” και “0”, που αντιπροσωπεύονται στα ραδιοφωνικά σήματα ως “on” και “off”. Οι ερευνητές επέλεξαν να χρησιμοποιήσουν Κωδικός Μάντσεστερ για τη βελτίωση της ανίχνευσης σφαλμάτων και τη διασφάλιση του συγχρονισμού του σήματος, μειώνοντας τις πιθανότητες για εσφαλμένες ερμηνείες στο τέλος του δέκτη.

Ο εισβολέας μπορεί να χρησιμοποιήσει ένα σχετικά φθηνό ραδιόφωνο που καθορίζεται από λογισμικό (SDR) με μια κεραία για να αναχαιτίσει τις διαμορφωμένες ηλεκτρομαγνητικές εκπομπές και να τις μετατρέψει ξανά σε δυαδικές πληροφορίες.

Απόδοση και περιορισμοί

Η επίθεση RAMBO επιτυγχάνει ρυθμούς μεταφοράς δεδομένων έως και 1.000 bit ανά δευτερόλεπτο (bps), που ισοδυναμούν με 128 byte ανά δευτερόλεπτο ή 0,125 KB/s.

Με αυτόν τον ρυθμό, θα χρειαζόταν περίπου 2,2 ώρες για την εξαγωγή 1 megabyte δεδομένων, επομένως το RAMBO είναι πιο κατάλληλο για την κλοπή μικρών ποσοτήτων δεδομένων όπως κείμενο, πληκτρολογήσεις και μικρά αρχεία.

Οι ερευνητές διαπίστωσαν ότι το keylogging μπορεί να πραγματοποιηθεί σε πραγματικό χρόνο κατά τη δοκιμή της επίθεσης. Ωστόσο, η κλοπή ενός κωδικού πρόσβασης διαρκεί 0,1 έως 1,28 δευτερόλεπτα, ένα κλειδί RSA 4096-bit διαρκεί από 4 έως 42 δευτερόλεπτα και μια μικρή εικόνα από 25 έως 250 δευτερόλεπτα, ανάλογα με την ταχύτητα μετάδοσης.

Οι γρήγορες μεταδόσεις περιορίζονται σε μέγιστο εύρος 300 cm (10 πόδια), με το ποσοστό σφάλματος bit να είναι 2-4%. Τα κιβώτια μεσαίας ταχύτητας αυξάνουν την απόσταση στα 450 cm (15 πόδια) για το ίδιο ποσοστό σφάλματος. Τέλος, αργές μεταδόσεις με σχεδόν μηδενικά ποσοστά σφάλματος μπορούν να λειτουργήσουν αξιόπιστα σε αποστάσεις έως και 7 μέτρα (23 πόδια).

Οι ερευνητές πειραματίστηκαν επίσης με εκπομπές έως και 10.000 bps, αλλά διαπίστωσαν ότι οτιδήποτε ξεπερνά τα 5.000 bps οδηγεί σε πολύ χαμηλή αναλογία σήματος προς θόρυβο για αποτελεσματική μετάδοση δεδομένων.

Σταματώντας το RAMBO

Ο τεχνικό έγγραφο που δημοσιεύτηκε στο Arxiv παρέχει πολλές συστάσεις μετριασμού για τον μετριασμό της επίθεσης RAMBO και παρόμοιων ηλεκτρομαγνητικών επιθέσεων κρυφών καναλιών, αλλά όλες εισάγουν διάφορα γενικά έξοδα.

Οι συστάσεις περιλαμβάνουν αυστηρούς περιορισμούς ζώνης για την ενίσχυση της φυσικής άμυνας, εμπλοκή RAM για διακοπή κρυφών καναλιών στην πηγή, εμπλοκή εξωτερικού EM για διακοπή ραδιοφωνικών σημάτων και περιβλήματα Faraday για να εμποδίζουν τα συστήματα με διάκενο αέρα να μην εκπέμπουν εξωτερικά ακτινοβολία EM.

Οι ερευνητές εξέτασαν το RAMBO έναντι ευαίσθητων διεργασιών που εκτελούνται μέσα σε εικονικές μηχανές και διαπίστωσαν ότι παρέμεινε αποτελεσματικό.

Ωστόσο, καθώς η μνήμη του κεντρικού υπολογιστή είναι επιρρεπής σε διάφορες αλληλεπιδράσεις με το λειτουργικό σύστημα του κεντρικού υπολογιστή και άλλα VM, οι επιθέσεις πιθανότατα θα διαταραχθούν γρήγορα.