Den vedvarende trussel om koldstøvleangreb

Af de mange forskellige måder at angribe computerindhold på, er en af ​​de mere interessante koldstartangrebet. Dette kom frem i lyset i 2008, da en gruppe forskere ved Princeton University annoncerede, at de havde opdaget en helt ny måde at slå diskkryptering på, standardmekanismen til at beskytte følsomme data på bærbare computere, smartphones, netbooks, pc'er og Mac'er.

I dag skitserer Jos Wetzels ved University of Technology i Eindhoven, Holland, teknikken og diskuterer de forskellige muligheder for at forhindre denne form for angreb. Hans nøgterne konklusion er, at på trods af tiden siden kolde støvler blev opdaget første gang, repræsenterer denne form for angreb stadig en klar og nærværende fare.

Koldstartangrebet er muligt på grund af en lidet kendt egenskab ved de random access-hukommelser, der bruges i computere til at gemme og læse data hurtigt. Random access memory er flygtig, hvilket betyder, at den konstant skal omskrives over perioder målt i millisekunder. Denne egenskab betyder, at alt, der er gemt i hukommelsen med tilfældig adgang, er midlertidigt – når maskinen slukkes, og hukommelsen mister strøm, går datoen hurtigt tabt.

Det troede alle i hvert fald. I 2008 viste Princeton-gruppen, at data, der er gemt i hukommelsen med tilfældig adgang, viser sig at være bevaret over en periode på mange sekunder, efter at den har mistet strømmen. Hvad mere er, kan afkøling af hukommelsen forlænge denne periode til mange minutter og muligvis timer. (En måde at afkøle random access memory på er at spraye den med en omvendt dåse med flydende luft, som frigiver kold væske i stedet for gas.)

I løbet af denne korte periode efter strømafbrydelse er enhver information i hukommelsen tilfældig tilgængelig. Og det er præcis sådan, koldstøvleangrebet fungerer.

Ideen er at afbryde strømmen til enheden og derefter straks genstarte den til et USB-flashdrev, så operativsystemet ikke straks overskriver indholdet af hukommelsen med tilfældig adgang. Søg derefter i hukommelsen med tilfældig adgang efter følsomt materiale, download det og vær væk.

Og det er det. Det er klart, at angriberen skal have adgang til den pågældende computer. Men hele processen kan være overstået meget hurtigt.

Koldstartangreb er specielt designet til at udtrække information, når indholdet er lagret på disken i krypteret form. De fleste krypteringssystemer håndterer dette ved at gemme krypteringsnøglen i hukommelsen med tilfældig adgang, så den er hurtigt tilgængelig, når det er nødvendigt. Men det betyder, at nøglen kan aflæses i et koldstartangreb.

Efter at have udtrukket indholdet af hukommelsen skal angriberen stadig finde nøglen, hvilket ikke altid er helt ligetil. En måde at gøre det på er ved brute force - at teste enhver mulig byte-sekvens som en potentiel nøgle. Men det er tidskrævende og ineffektivt. En anden måde er at lede efter de metadata, der er knyttet til nøgler, såsom ASN.1-præfikserne, der bruges med RSA-nøgler.

Endnu en mulighed er at lede efter nøglernes matematiske egenskaber, såsom deres høje entropi. Men dette kan producere et stort antal falske positiver.

Sandsynligvis den bedste måde at udtrække nøglerne på er at bruge alle disse teknikker og alle andre, der er tilgængelige.

Sikkerhedseksperter har med succes brugt koldstartangreb til at besejre diskkryptering på en lang række computere. De har brugt det til at angribe BitLocker, som kommer med Windows Vista, FileVault, som kommer med Mac OS X og dm – crypt bruges med Linux. De har også brugt det på forskellige Android-smartphones med krypterede data.

Så hvad kan der gøres for at beskytte mod koldstøvlerangreb? Wetzels siger, at der er flere muligheder med varierende grader af effektivitet.

En indlysende tilgang er ikke at gemme kryptografiske nøgler i random access memory i længere tid end nødvendigt. Dette kræver software, der fjerner nøglen, når den er blevet brugt, og overskriver den del af hukommelsen. Et eksempel er en applikation kaldet Deadbolt til Android-smarttelefoner, som sikkert overskriver enhver nøgle, der er gemt i hukommelsen, så snart smarttelefonens skærm låses.

En anden særligt lovende tilgang er at gemme alle følsomme nøgler uden for random access memory. En foreslået kategori af løsninger består af kernemodifikationer, som opbevarer følsomt kryptografisk nøglemateriale sikkert uden for RAM på en sådan måde, at de ikke er let tilgængelige for programmer, der kører med almindelige privilegier, og går tabt, så snart computeren genstarter, siger Wetzel.

Det er også muligt at få hardware, der ikke er modtagelig for koldstartangreb. For eksempel er det muligt at kryptere information, der er gemt i en hukommelse med tilfældig adgang, og dekryptere den, når den bruges.

En anden mulighed er at bruge diske, der har deres egen kryptografiske chip, der dekrypterer data, når det er nødvendigt. På denne måde bliver nøglen aldrig gemt i random access memory eller brugt af systemets CPU.

Selvfølgelig afhænger sikkerheden af ​​disse systemer af at sikre, at enhver nøgle, de er afhængig af, slettes, når strømmen går tabt.

Ingen af ​​disse er selvfølgelig perfekte, og Wetzels konklusion er, at koldstøvlerangreb er en levedygtig og realistisk vektor for en angriber, der søger at udtrække følsom information indeholdt i hukommelsen.

Du er blevet advaret!

Ref: arxiv.org/abs/1408.0725 : Hidden In Snow, Revealed In Thaw: Cold Boot Attacks Revisited

skjule