Vijesti o Tehnologiji, Recenzije i Savjeti!

Potpuna sigurnost TPM čipova u pitanju

Integrirani TPM (Trusted Module Platform) danas je ključni element u sigurnosti sustava. Toliko da će, kao što možda dobro znate, Microsoft dopustiti samo instalaciju Windows 11 na sustavima opremljenim ovim sigurnosnim sustavom (uz nekoliko iznimaka, kao što smo vam rekli ovdje), dovodeći u kompliciranu situaciju korisnike starijih sustava koji nemaju TPM čip i koji nemaju mogućnost njegove ugradnje.

Činjenica je da se proizvođači i programeri klade na čipove posvećene jamčenju sigurnosti određenih operacija, s TPM-om koji prati kompatibilne sustave i sigurnu enklavu kao implementaciju istih koje je dizajnirao Apple. I nema sumnje da u velikoj većini slučajeva ovaj sustav nudi razinu sigurnosti koja je više nego odgovarajuća i uz koju možemo ostati mirni.

Međutim, pokazalo se da TPM nije nepogrešiv, u određenim okolnostima i uz složenu, ali izvedivu proceduru, moguće je zaobići zaštitu koja u teoriji onemogućuje uključivanje i korištenje sustava te, u tim istim okolnostima, pristup korporativnoj mreži , s golemim rizicima koje to predstavlja. Prije analize ranjivosti, ponovno inzistiramo na onome što smo prije spomenuli, radi se o vrlo specifičnim okolnostima i nije napad dostupan svakome, no svejedno je važno znati o njemu i po potrebi ga spriječiti.

Ovo otkriće rezultat je istrage koju su prije nekoliko dana objavili Grupa Dolos, čiji su autori dobili potpuni pristup tvrdom disku prijenosnog računala unaprijed konfiguriranom za pristup korporativnoj mreži putem sigurne VPN veze. Ova vrsta konfiguracije vrlo je česta u tvrtkama koje daju ta računala svojim radnicima kako bi mogli sigurno raditi na daljinu.

TPM je siguran, njegova implementacija manje

S obzirom na sigurnost koju nudi TPM čip, mnogi napadi su isključeni, pa su istraživači pokušali s drugačijim pristupom, odnosno tražili su slabosti vezane uz sam čip i njegovu integraciju u sustav. Kod najčešće konfiguracije, sustav se diže izravno u Windows, bez prethodnog koraka koji zahtijeva unos lozinke. Za otključavanje sustava koristi se jedan ključ, pohranjen na čipu.

Konstrukcija samih TPM čipova čini pokušaj izravnog pristupa njihovom sadržaju gotovo nemogućim. Neki modeli čak kažu da imaju funkciju fizičkog samouništenja ako se otkriju pokušaji pristupa unutrašnjosti. U međuvremenu, točke koje pričvršćuju čip na ploču toliko su male da je u praksi gotovo nemoguće zalemiti bilo što na njih kako bi se pokušalo pristupiti podacima koji se prenose na i s čipa.

I koji bi bio smisao pristupa takvom podatkovnom prometu? Ovdje moramo znati da je TPM veza s CPU-om preko SPI (Serial Peripheral Interface) sabirnice i da bi, zbog sigurnosne implementacije BitLockera, postavljanje njuškala na ovu podatkovnu sabirnicu moglo omogućiti ključ za dešifriranje jedinice za pohranu sustava. biti dobiven, budući da se prenosi nekriptiran.

U idealnom slučaju, iz sigurnosnih razloga, TPM bi trebao imati namjensku sabirnicu koja ga povezuje s CPU-om, ali zbog dizajna i troškova ispada da istu sabirnicu koja se koristi za ovu vezu koriste i druge komponente na matičnoj ploči, uključujući CMOS čip u kojem se nalazi BIOS sustava. Što je posebno kod ovog čipa? Pa, za razliku od TPM-a, pinovi koji ga povezuju s matičnom pločom su vrlo veliki, tako da je povezivanje nečega s njima puno lakše.

Sljedeći korak bio je analizirati sav podatkovni promet na SPI sabirnici na koju su bili povezani i BIOS i TPM čip, filtrirajući sve podatke kako bi se izdvojio ključ za šifriranje. Nije im trebalo dugo da iskoriste sistemski pristup tvrdom disku kako bi dobili pristup sadržaju jedinice za pohranu. Od tog trenutka rat je već bio dobiven, istraživači su već dobili ključ potreban za dešifriranje sadržaja diska.

S dobivenim ključem za dešifriranje pogona, istraživači se više nisu morali suočavati s nemogućnošću otključavanja sustava bez ključa: sljedeći korak bio je odspojiti SSD s prijenosnog računala i spojiti ga na drugi sustav kako bi pristupili njegovom sadržaju.

Još gore nego što je izgledalo

Tijekom analize sadržaja tvrdog diska došlo se do najzanimljivijeg otkrića: računalo je imalo instaliran korporativni VPN klijent, unaprijed instaliran i konfiguriran, spreman za korištenje. Za razliku od VPN klijenata za kućne korisnike, korporativna rješenja imaju vrlo zanimljivu značajku: uspostavljaju vezu prije nego što se korisnik prijavi. Na taj se način domenske skripte izvršavaju na sustavima čim se uključe, čime se izbjegava potreba za autentifikacijom lozinkom (specifičnom za svako računalo) u svakom slučaju, što bi moglo biti noćna mora za administratore takvih sustava.

Što to znači? Pa, u tom trenutku istraživači i potencijalni napadači mogli bi pribjeći mnogim dobro poznatim tehnikama za uvođenje zlonamjernog softvera u SSD napadnutog sustava, koji bi zatim bio ponovno sastavljen na osobnom računalu. A kada se to računalo, ili ispis njegovog diska u virtualnom stroju, pokrene, odmah će pristupiti korporativnoj mreži, tako da će biti ugrožena ne samo sigurnost tog sustava, već i cijele infrastrukture.

Kao što smo spomenuli na početku, radi se o složenom napadu, jer zahtijeva fizički pristup sustavu, a uz određene dodatne sigurnosne mjere isti se poništava. Najjednostavnija opcija je da korisnik mora unijeti lozinku za pokretanje sustava (samog sustava, ne Windows), a može se koristiti i dodatni sigurnosni sustav koji čini komunikaciju između TPM-a i CPU-a šifriranom.

Riječ je, dakle, o sigurnosnom problemu koji nije lako iskoristiti, ali koji postoji, koji se može reproducirati (čak i više sada kada je javno objavljen) i koji pokazuje da čak i posjedovanje TPM čipa ne jamči potpunu sigurnost. Kao rezultat toga, neophodno je poduzeti dodatne mjere, poput zaključavanja pokretanja sustava lozinkom.

I postoji jedna preporuka koja je ključna iznad svih ostalih: zapamtite da nikada nećemo imati 100% sigurnost. Bez obzira imamo li TPM čip, vrlo siguran VPN itd., ne smijemo zanemariti sigurnost. Držite naša računala pod nadzorom, nemojte instalirati softver sumnjivog podrijetla, budite vrlo oprezni s onim što primamo e-poštom… da, znamo, to su iste stare smjernice, ali njihova je važnost temeljna kada se radi o zaštiti od prijetnji.