威脅長期存在黑客5分鐘即可破解Thunderbolt
你的電腦很可能又被黑客盯上了。近日，據外媒報導，一名荷蘭研究人員Ruytenberg 展示了黑客如何通過Thunderbolt 實施物理訪問進而攻擊電腦，並指出了 7 類漏洞：
- 固件驗證方案不足
- 弱設備認證方案
- 未經驗證的設備元數據的使用
- 使用向後兼容性降低攻擊級別
- 未經驗證的控制器配置的使用
- SPI 閃存接口缺陷
- 在Boot 營地沒有雷電安全
研究者指出，這些漏洞適用於自2011年以來所有裝有Thunderbolt 的計算機，並且允許擁有物理訪問權限的攻擊者從加密的驅動器和內存中快速竊取數據。
更可怕的是，即便你的設備即使處於睡眠模式或鎖定的狀態、設置安全引導、使用強BIOS 和操作系統帳戶密碼以及啟用完全磁盤加密，攻擊仍然有效，並且這種攻擊不會留下任何痕跡，也不需要任何形式的網絡釣魚，還可以從加密驅動器中竊取數據，而完成這一過程只需要5 分鐘。
研究人員將這一漏洞命名為Thunderspy。值得注意的是，這是個硬件級漏洞，只要幾百美元的設備就能攻破該漏洞。
漏洞威脅長期存在
在Mac電腦和部分Windows電腦上，Thunderbolt端口能夠被用來連接外圍設備，比如顯示器、高速網絡適配器、普通硬盤和容量更大的存儲陣列。在筆記本電腦上，一個Thunderbolt插接站就可以讓你的電腦接入閃存讀卡器、電源電纜、HDMI顯示器、以太網以及USB鼠標和鍵盤。
但一直以來，Thunderbolt 有一個讓安全研究人員都很擔心的問題：因其更快的數據傳輸速度，並且允許比其他端口更直接地訪問計算機內存，所以導致漏洞的風險也更大。
這不就來了。
3 個月前，Ruytenberg 向英特爾報告了這一漏洞，經核查，英特爾承認了這一漏洞。
英特爾表示：“雖然潛在的漏洞並不是新出現的，而且在去年的操作系統發布版中就已經解決了，但是研究人員在沒有啟用這些緩解措施的系統上使用定制的外圍設備，演示了新的潛在物理攻擊載體。
但他們並沒有證明DMA 攻擊能夠成功地攻擊啟用了這些緩解措施的系統。對於所有系統，我們建議遵循標準的安全實踐，包括只使用受信任的外圍設備和防止未經授權的物理訪問計算機。英特爾將繼續改進Thunderbolt 技術的安全性，感謝來自埃因霍芬理工大學的研究人員向我們報告了這一情況。”
不過，Ruytenberg有不同的看法，因為在實驗中，他們沒有發現任何一台戴爾電腦安裝了上述保護措施，只有部分惠普和聯想筆記本安裝了。
此外，這些漏洞也無法通過軟件更新修復，因為它們本質上與硬件設計有關，即使用戶在操作系統中調整了安全設置，也不能完全避免此類攻擊，所以只能靠今後重新設計硬件才能完全解決。
也就是說，目前還無法解決這個威脅。
黑客如何在無密碼解鎖的情況下攻入你的電腦的？
為了進一步證明這個漏洞的影響，Ruytenberg 在youtub 上傳了一段分析視頻。
在演示視頻中，他卸下了電腦的後蓋，將SPI 編程器和主板上的雷電控制器連接起來。
然後在另一台電腦上的雷電接口上插入一個自製破解設備，運行PCI Leech 軟件（一種內核插入和攻擊工具），通過改變控制Thunderbolt 端口的固件，允許任何設備訪問，而整個過程只用了5 分鐘。
這樣一來，攻擊者可以永久禁用Thunderbolt 安全並阻止所有未來的固件更新。
該攻擊只需要價值約400 美元的裝備，包括一個SPI 編碼器和價值200 美元的Thunderbolt 外設。
當然，除了上面要拆開筆記本的方法外，Thunderspy 攻擊還有一種無需物理侵入的方法。
即通過創建任意的雷電設備身份，克隆用戶授權的雷電設備，最後獲得PCIe 連接以執行DMA 攻擊。
這樣，無需打開電腦外殼，即可繞過目標設備的鎖定屏幕。但是，只有將雷電接口的安全性設置為允許受信任設備的默認設置時，這種無需物理侵入的Thunderspy 攻擊才有效。
目前，英特爾尚未發布任何Thunderspy漏洞的CVE信息，並且不計劃發布針對市場上已有系統的修復程序。蘋果則決定不為Thunderspy提供修復程序。
用戶如何自救？
所以，對於用戶來說，怎樣保護電腦不被黑客攻擊呢？安全研究人員也給出了一些建議。
- 通過免費的開源工具Spycheck，驗證是否受到Thunderspy 的攻擊：
驗證地址：https://thunderspy.io/
- 只連接自己的Thunderbolt 外設；不要把它們藉給任何人；
- 避免開機時無人值守系統，即使屏幕被鎖定；
- 避免讓Thunderbolt 外設無人看管；
- 存儲系統和任何Thunderbolt 設備(包括Thunderbolt 供電的顯示器)時，確保適當的物理安全；
- 避免使用睡眠模式(內存掛起)。