Intel可信执行技术存漏洞,黑客可在唤醒系统时进行攻击

两名研究人员上个月在亚洲黑帽大会披露,英特尔可信任执行技术(英特尔TXT,前期开发代号为LaGrande)中存在漏洞,黑客可趁机在设备被唤醒(Wake Up)时进行攻击。

两名研究人员上个月在亚洲黑帽大会披露,英特尔可信任执行技术(英特尔TXT,前期开发代号为LaGrande)中存在漏洞,黑客可趁机在设备被唤醒(Wake Up)时进行攻击。
这类攻击的目标为受信引导(简称tBoot)机制,而tBoot属于负责保护虚拟机监视器(简称VMM)与操作系统的开源项目。研究人员强调称这种新型攻击向量有能力破坏英特尔TXT,意味着计算机在休眠状态下仍有必要保留部分监控功能。
韩国国家安全研究院高级安全研究员Seunghun Han与Jun-Hyeok Park利用了tBoot中的“指针未验证导致任意代码执行”漏洞(CVE-2017-16837)。两位研究人员在亚洲黑帽大会上表示,这一特定攻击向量此前从未被报道公开,而攻击者只需要具备root权限即可对其加以利用。
Intel可信执行技术存漏洞,黑客可在唤醒系统时进行攻击

研究人员们解释称,他们此前曾经分别调查过英特尔TXT与tBoot。以往的研究只关注启动过程,而本次研究则着眼于tBoot的休眠与唤醒顺序,以及攻击者如何在重新激活时对机器进行入侵。
保护休眠状态
研究人员在亚洲黑帽大会上首次探讨了休眠模式在经济性层面的存在原因,并解释道“功耗是一种切实成本。很多企业都高度关注其产品的实际功耗,因为功耗越低意味着运行成本就越低。”虽然关闭器能够显著降低功耗,但是重新将所有组件激活可能带来严重的安全风险。在计算机的唤醒过程当中,其各个部件的重启可能需要时间,而其中的安全机制可能暂时关闭以加快其它进程的启动速度。
PC、笔记本电脑以及服务器环境支持的高级配置与电源接口(简称ACPI)拥有六种休眠状态,可在机器关闭时逐渐降低功耗。随着CPU、设备与内存进入完全休眠模式,其状态等级逐步由S0达到S5。而在S3休眠阶段,CPU与设备的电源将被切断。
研究人员指出,“由于电源被切断,因此再次激活需要对各组件进行状态恢复并重新启动。如果我们阻断休眠及唤醒过程,则可以借此完成一些意料之外的操作。”
研究人员解释称,目前各类设备当中包含引导保护机制。统一可扩展固件接口(简称UEFI)的安全启动机制会在执行之前对二进制文件的加密签名进行检查,并在该文件缺少有效签名时将其停止。“测量启动”则会在执行之前检查二进制文件的哈希值,并将测得的值存储至可信平台模块(简称TPM)当中。TPM是一类被广泛部署在商业设备中的硬件安全设备,其设计当中包含随机数生成器、加密功能与平台配置寄存器(简称PCR)、可存储哈希值并可用于封装Bitlocker等数据。
休眠模式的风险
当系统被唤醒时,需要启动CPU的安全功能并恢复TPM的PCR。然而,由于丢失指针缺陷的存在,tBoot不会测量所有函数指针。tBoot中的某些指针未得到验证,因此可能引发任意代码执行缺陷。
而通过在S3休眠模式下利用丢失指针缺陷,Han与Park发现能够在系统休眠及唤醒过程中伪造PCR值,如此便够成功攻陷英特尔TXT安全机制。
为了防范和抵御此类攻击活动,研究人员们建议用户将tBoot更新至最新版本或禁用BIOS当中的休眠功能。

本文业界资讯相关术语:网络安全论文 网络安全密钥 网络安全工程师 网络安全技术与应用 网络安全概念股 网络安全知识 网络安全宣传周 网络安全知识竞赛 网络安全事件

tags: tBoot,休眠,唤醒,TXT,英特尔,黑帽,功耗,攻击,人员,研究,指针,执行,漏洞
分页:12
转载请注明
本文标题:Intel可信执行技术存漏洞,黑客可在唤醒系统时进行攻击
本站链接:https://www.codesec.net/view/574859.html


1.凡CodeSecTeam转载的文章,均出自其它媒体或其他官网介绍,目的在于传递更多的信息,并不代表本站赞同其观点和其真实性负责;
2.转载的文章仅代表原创作者观点,与本站无关。其原创性以及文中陈述文字和内容未经本站证实,本站对该文以及其中全部或者部分内容、文字的真实性、完整性、及时性,不作出任何保证或承若;
3.如本站转载稿涉及版权等问题,请作者及时联系本站,我们会及时处理。
登录后可拥有收藏文章、关注作者等权限...
技术大类 技术大类 | 业界资讯 | 评论(0) | 阅读(103)