Войти
A Атака DMA - это тип атаки по побочному каналу в компьютерной безопасности, при котором злоумышленник может проникнуть на компьютер или другое устройство, используя наличие высокоскоростных портов расширения, которые разрешают прямой доступ к памяти (DMA).
DMA включен в ряд подключений, поскольку он позволяет подключенному устройству (например, видеокамере, сетевой карте, запоминающему устройству или другой полезный аксессуар или внутренняя карта ПК ) передавать данные между собой и компьютером с максимально возможной скоростью, используя прямой аппаратный доступ для чтения или записи напрямую в основную память без какого-либо наблюдения или взаимодействия со операционной системой. Законное использование таких устройств привело к широкому распространению аксессуаров и подключений DMA, но злоумышленник может в равной степени использовать одно и то же средство для создания аксессуара, который будет подключаться через тот же порт, а затем потенциально может получить прямой доступ к части или ко всем из адресное пространство физической памяти компьютера, минуя все механизмы безопасности ОС и любой экран блокировки, чтобы прочитать все, что делает компьютер, украсть данные или криптографические ключи, установить или запустить шпионское ПО и другие эксплойты или модифицируйте систему, чтобы разрешить бэкдоры или другое вредоносное ПО.
Предотвращение физических подключений к таким портам предотвратит атаки DMA. На многих компьютерах соединения, реализующие DMA, также могут быть отключены в BIOS или UEFI, если они не используются, что в зависимости от устройства может свести на нет или уменьшить вероятность этого типа эксплойта.
Примеры соединений, которые могут разрешить DMA в той или иной форме, включают FireWire, CardBus, ExpressCard, Thunderbolt, PCI и PCI Express.
В современных операционных системах несистемным (т. Е. пользовательский режим ) приложениям запрещен доступ к любым ячейкам памяти, не авторизованным явным образом виртуальным контроллер памяти (называемый блоком управления памятью (MMU)). Помимо защиты от повреждений, которые могут быть вызваны ошибками программного обеспечения, и обеспечения более эффективного использования физической памяти, эта архитектура является неотъемлемой частью безопасности операционной системы. Однако драйверы режима ядра, многие аппаратные устройства и уязвимости пользовательского режима обеспечивают прямой беспрепятственный доступ к адресному пространству физической памяти. Физическое адресное пространство включает всю основную системную память, а также шины с отображением памяти и аппаратные устройства (которые управляются операционной системой посредством операций чтения и записи, как если бы они были обычным ОЗУ).
Спецификация OHCI 1394 позволяет устройствам по соображениям производительности обходить операционную систему и напрямую обращаться к физической памяти без каких-либо ограничений безопасности. Но устройства SBP2 могут быть легко подделаны, что позволяет обмануть операционную систему и позволить злоумышленнику как читать, так и записывать в физическую память, и тем самым получить несанкционированный доступ к конфиденциальным криптографическим материалам в
Системы все еще могут быть уязвимы для DMA-атаки со стороны внешнего устройства, если в них есть FireWire, ExpressCard, Thunderbolt или другие порт расширения, который, как и PCI и PCI Express в целом, соединяет подключенные устройства напрямую с физическим адресным пространством, а не с виртуальной памятью . Таким образом, системы, не имеющие порта FireWire, могут оставаться уязвимыми, если в них есть PCMCIA / CardBus / PC Card или порт ExpressCard, который позволяет расширить карту с FireWire для установки.
Злоумышленник может, например, использовать атаку социальной инженерии и отправить «счастливому победителю» мошенническое устройство Thunderbolt. После подключения к компьютеру устройство, благодаря прямому и беспрепятственному доступу к физическому адресному пространству, сможет обойти почти все меры безопасности ОС и иметь возможность читать ключи шифрования, устанавливать вредоносное ПО или управлять другими системными устройствами.. Атака также может быть легко выполнена, если злоумышленник имеет физический доступ к целевому компьютеру.
В дополнение к вышеупомянутым гнусным применениям, есть и некоторые полезные применения, поскольку функции DMA могут использоваться для ядро целей отладки.
Для этой атаки существует инструмент под названием Inception, для которого требуется только машина с портом расширения, восприимчивая к этой атаке. Еще одно известное приложение, использующее эту уязвимость для получения несанкционированного доступа к компьютерам под управлением Windows, Mac OS и Linux, - это шпионское ПО FinFireWire.
DMA-атаки могут быть предотвращены с помощью физической безопасности против потенциально вредоносных устройств.
Драйверы режима ядра обладают множеством возможностей, чтобы поставить под угрозу безопасность системы, и необходимо позаботиться о загрузке надежных драйверов без ошибок. Например, последние 64-разрядные версии Microsoft Windows требуют, чтобы драйверы были протестированы и подписаны цифровой подписью Microsoft, а также предотвращают установку любых неподписанных драйверов.
IOMMU - это технология, которая применяет концепцию виртуальной памяти к таким системным шинам и может использоваться для устранения этой уязвимости безопасности (а также для повышения стабильности системы). Intel называет свой IOMMU VT-d. AMD называет свой IOMMU AMD-Vi. Linux поддерживает эти IOMMU и может использовать их для блокировки транзакций ввода-вывода, которые не были разрешены.
Более новые операционные системы могут принимать меры для предотвращения атак DMA. Последние ядра Linux включают возможность отключения DMA устройствами Firewire при одновременном разрешении других функций. Windows 8.1 может запретить доступ к портам DMA автоматической машины, если консоль заблокирована. Но по состоянию на 2019 год основные поставщики ОС не принимали во внимание разнообразие способов, которыми злонамеренное устройство может использовать преимущества сложных взаимодействий между несколькими эмулируемыми периферийными устройствами, обнаруживая незаметные ошибки и уязвимости.
Никогда не позволяйте конфиденциальным данным быть храниться в ОЗУ в незашифрованном виде - еще одно средство защиты от DMA-атак. Однако защиты от чтения содержимого RAM недостаточно, так как запись в RAM через DMA может поставить под угрозу кажущееся безопасное хранение вне RAM посредством внедрения кода. Примером второго типа атаки является TRESOR-HUNT, которая раскрывает криптографические ключи, которые никогда не хранятся в ОЗУ (а только в определенных регистрах ЦП); TRESOR-HUNT достигает этого путем перезаписи частей операционной системы.
Microsoft рекомендует изменить конфигурацию Windows по умолчанию, чтобы предотвратить это, если это вызывает беспокойство.
