安全研究人員報(bào)告稱，透過流經(jīng)某些計(jì)算機(jī)系統(tǒng)主板的信號(hào)，黑客可利用英特爾VISA芯片漏洞窺探主機(jī)數(shù)據(jù)。
英特爾所謂 “內(nèi)部信號(hào)可視化架構(gòu)” (VISA)既可以理解為一項(xiàng)功能，也可以看做一個(gè)漏洞。該架構(gòu)存在于英特爾計(jì)算機(jī)系統(tǒng)的平臺(tái)控制單元(PCH)，受英特爾管理引擎(IME)控制。VISA技術(shù)旨在為調(diào)試計(jì)算機(jī)硬件（尤其是計(jì)算機(jī)系統(tǒng)主板）提供靈活的信號(hào)分析處理器。
控制VISA的英特爾管理引擎就是個(gè)小型低功耗嵌入式計(jì)算機(jī)，加載修改版MINIX操作系統(tǒng)。盡管英特爾未對(duì)IME進(jìn)行過多的宣傳，但其存在早幾年前便已為人所知。VISA技術(shù)則是去年由Positive Technologies的安全研究人員發(fā)現(xiàn)的。
英特爾確實(shí)有關(guān)于VISA技術(shù)的文檔，但受保密協(xié)議的約束，其訪問是嚴(yán)格受控的。不過，Positive Technologies 的兩名研究人員報(bào)告稱發(fā)現(xiàn)了VISA技術(shù)的功能，并找到了啟用該功能的方法，可以用這些數(shù)據(jù)發(fā)現(xiàn)其宿主計(jì)算機(jī)系統(tǒng)的內(nèi)部機(jī)制。
亞洲黑帽大會(huì)上披露
3月28日，研究人員在亞洲黑帽大會(huì)上披露了自己的發(fā)現(xiàn)，聲稱他們之前發(fā)現(xiàn)的可利用來自IME內(nèi)執(zhí)行未簽名代碼的漏洞(INTEL-SA-00086)，同樣可以用于訪問VISA硬件。
商用計(jì)算機(jī)系統(tǒng)上VISA功能通常是禁用的，但 Positive Technologies團(tuán)隊(duì)可利用IME來啟用VISA功能。一旦得以訪問，便能探知PCH細(xì)節(jié)，也就可以從計(jì)算機(jī)中找到那些數(shù)據(jù)，并可以讀取外圍設(shè)備數(shù)據(jù)?；旧?，該漏洞能令黑客獲得對(duì)計(jì)算機(jī)的完全訪問權(quán)。
作為回應(yīng)，英特爾宣稱，2017年對(duì)IME的一次更新已經(jīng)修復(fù)了該漏洞。但研究人員表示，如果將該固件降級(jí)至早期版本，仍能訪問VISA硬件及其能讀取的數(shù)據(jù)。
面對(duì)質(zhì)疑，研究人員向媒體透露，該漏洞僅影響第6代及以后的英特爾處理器，包括Skylake和 Kaby Lake，且將來的英特爾處理器中仍將存在該漏洞。
（這是個(gè)調(diào)試技術(shù)，但僅供內(nèi)部使用，不向公眾開放。）
或可幫助檢測(cè)”預(yù)測(cè)執(zhí)行攻擊”
除用于在生產(chǎn)環(huán)境中測(cè)試之外，研究人員還披露了VISA技術(shù)存在的一個(gè)基本原因。x86研究人員會(huì)認(rèn)為該技術(shù)很有用，但最重要的是，該技術(shù)提供了檢測(cè)預(yù)測(cè)執(zhí)行攻擊（如熔斷和幽靈）的一種方法。
（研究預(yù)測(cè)執(zhí)行時(shí)的一個(gè)主要問題是獲取硬件反饋。該技術(shù)正好提供了觀測(cè)CPU/SoC內(nèi)部狀態(tài)和確認(rèn)假設(shè)的辦法。）
考慮到預(yù)測(cè)執(zhí)行漏洞不斷涌現(xiàn)，漏洞嚴(yán)重性也在不斷增長(zhǎng)，能夠檢測(cè)此類攻擊的技術(shù)無疑是抵御預(yù)測(cè)執(zhí)行攻擊的一大利器。
同時(shí)，該技術(shù)也有助于開發(fā)防止此類攻擊的工具，這種防護(hù)工具自然是需要知道VISA技術(shù)運(yùn)作機(jī)制和怎樣訪問VISA數(shù)據(jù)的。研究人員在黑帽大會(huì)演講中提供了這一信息，可以在演示文檔中查看他們?cè)谶@一過程中用到的XML。
對(duì)醉心技術(shù)的極客來說，演示文檔非常值得一讀。英特爾下一步估計(jì)就是找到防止降級(jí)固件的方法，以期至少堵上該漏洞可被利用的幾種方法。
訪問VISA技術(shù)需要物理接觸
至少目前為止，訪問VISA技術(shù)必須要能物理接觸到目標(biāo)計(jì)算機(jī)。一旦能接觸到目標(biāo)計(jì)算機(jī)，攻擊者所要做的就只是連接USB端口了。研究人員在黑帽大會(huì)上演示了具體操作方法。
但有其他研究表明可以通過網(wǎng)絡(luò)連接訪問IME也是可行的。如果真是這樣，那物理訪問要求也就不再必需，可以遠(yuǎn)程執(zhí)行此類攻擊了。
也就是說，目前為止，物理安全措施仍然非常重要。能實(shí)際接觸到計(jì)算機(jī)的攻擊者可用各種方式抽取用戶數(shù)據(jù)，方法多到超出你的想象。但網(wǎng)絡(luò)檢測(cè)同樣重要，尤其是要監(jiān)視存放關(guān)鍵數(shù)據(jù)的計(jì)算機(jī)所在的網(wǎng)段，在攻擊發(fā)生之初就發(fā)現(xiàn)入侵，而不是等攻擊者已經(jīng)在抽取數(shù)據(jù)了才發(fā)現(xiàn)。
同時(shí)，希望英特爾能找到從芯片和系統(tǒng)主板走下生產(chǎn)線之時(shí)就永久禁用不必要功能的方法。
文章轉(zhuǎn)載:安全牛
