中科院之声 “雷电”接口的“邪恶女仆”攻击丨专栏( 二 ) 一、小白剧场小白：东哥

文章图片
攻击实施画面（图片来自网络）
小白：这个攻击过程也太快了吧？不过该漏洞的执行的必要条件是不是需要攻击者需要物理接触被攻击机？
大东：不错，具备物理访问设备权限的攻击者可以通过他使用的Thunderspy工具，创建任意的Thunderbolt设备身份。通过克隆用户授权的Thunderbolt设备，获得PCIe连接并进行DMA攻击。

文章图片
攻击示意图（图片来自网络）
小白：这个漏洞还有其他的特点吗？
大东：该漏洞还允许未经认证的覆盖安全级别配置，包括完全禁用Thunderbolt安全。有物理访问权限的攻击者能够永久地重新编程受害者的设备，并从此允许任何人绕过各种安全措施直接访问内存。即使设备被限制只通过USB或DisplayPort传输，仍旧可以通过该漏洞恢复Thunderbolt连接并永久禁用Thunderbolt安全保护盒后续的固件更新。
小白：这个攻击实在是太可怕了！我还有个问题，实施这个攻击所需要的成本高吗？
大东：Ruytenberg攻破电脑的设备成本仅400美元，体积还比较大。但是他说，可以把这套设备小型化，让攻击更为隐蔽，成本会增加到1万美元。
三、大话始末
小白：那这个漏洞的影响范围大吗？
大东：2019年2月，安全研究人员就发现了一个与Thunderspy类似的相关入侵事件Thunderclap ，配有雷电接口的计算机易受大量直接内存访问(DMA)攻击。 Bj?rnRuytenberg表示该漏洞会影响在2011-2020年之间发售并配备Thunderbolt的设备， 2019年之前生产、出货的配备雷电3的设备都容易受到攻击。
小白：那岂不是有数百万的PC都会受到影响， 2019年之后呢？
大东：2019年之后，部分设备提供了内核DMA保护，可以缓解部分（而非全部）Thunderspy漏洞。目前仅惠普和联想的少数高端笔记本设备支持， MacOS笔记本（2011年开始发布的除RetinaMacBooks外的所有AppleMac均提供雷电连接）启动到Bootcamp时，所有的Thunderbolt安全都会被禁用，因此也容易受到影响。
小白：不能通过软件来修复这会造成什么影响？
大东：这可能直接影响未来的USB4和Thunderbolt4等标准，需要对芯片进行重新设计。
小白：难道这个漏洞就无法解决吗？
大东：对于这类攻击，英特尔确实推出了相应的应对措施。他们最近新推出了一套名为KernelDirectMemoryAccessProtection的Thunderbolt安全系统，可以抵御Ruytenberg的Thunderspy攻击，但问题是该套方案仅对不早于2019年生产的电脑有效。
小白：也就是说，目前市面上有数百万的设备仍存在受到这类攻击的风险，并且无法避免。
大东：不错，而这可能也是微软Surface选择不配备Thunderbolt的原因。
四、小白内心说
小白：针对邪恶女仆攻击，我们要怎么防范呢？
大东：使用高强度密码、在BIOS设置密码防止对BIOS做出更改，仅在硬盘驱动器开启关闭系统以及当有人更改硬件时发出防篡改警报。
小白：谢谢东哥，我知道了。雷电漏洞是一个硬件漏洞，没有办法修补，那我们要怎么才能不被坏人利用这个漏洞而攻击我们的电脑呢？
大东：首先确定你的电脑是否使用了雷电接口，雷电1和2与miniDP公用，雷电3与USB-C公用，而且采用雷电标准的接口还会在旁边加入一个闪电标志。

文章图片
雷电接口标志（图片来自网络）
小白：要是使用了雷电接口怎么办？
大东：发现自己电脑使用了也不要慌。 Ruytenberg在Thunderspy网站上发布了一款名为Spycheck的软件，让用户来验证自己的电脑是否容易受到攻击。我们可以先下载这个软件检验。