Wat is een hardware-trojan? Waarom uw smartphones mogelijk gevaar lopen

$config[ads_kvadrat] not found

Waarom water toch gevaarlijk voor je waterdichte smartphone kan zijn

Waarom water toch gevaarlijk voor je waterdichte smartphone kan zijn

Inhoudsopgave:

Anonim

Een paar weken geleden, Bloomberg meldde dat China Amerikaanse technologiebedrijven, waaronder Apple en Amazon, bespioneerde door tijdens het productieproces geheime microchips op serverkaarten te installeren. Deze hardware trojans zijn, net als het Griekse paard dat werd gebruikt om soldaten te binnen sluipen, ontworpen om onschadelijk te lijken, terwijl ze in werkelijkheid geheime kwaadaardige operaties uitvoeren.

De genoemde technologiebedrijven hebben dit rapport ontkend; op dit moment hebben we geen manier om te weten wie gelijk heeft. Als dit waar is, is dit mogelijk de grootste kwaadwillige inbreuk op de hardwarebeveiliging die we hebben gezien. Als dit niet waar is, wel … er zijn nog steeds voldoende hardwarebeveiligingskwetsbaarheden om rond te gaan.

Eerder dit jaar werd de Spectre / Meltdown-bug onthuld. Dit beveiligingsprobleem treft vrijwel elke processor, van computers die consumentencomputers aansturen tot bedrijfsservers, en het geeft kwaadwillende code toegang tot potentieel vertrouwelijke informatie. Dit was een fout in het hardware-ontwerp: software pleisters (updates bedoeld om de fout te verhelpen) werden snel daarna beschikbaar gesteld en, officieel, met een verwaarloosbare prestatie-impact (het is niet echt te verwaarlozen).

Maar dit heeft geen invloed op u direct, afgezien van een iets langzamere computer … of toch?

Microprocessors zijn overal

De gemiddelde persoon communiceert elke dag met tientallen microprocessors. Dit omvat niet de servers en internetrouters die uw e-mail en sociale media verwerken: denk dichter bij huis. U hebt waarschijnlijk een smartphone en een pc of tablet.

Gerelateerde video:

Misschien een Amazon Echo of een andere slimme luidspreker? Een elektronische deurbel of intercom? Uw auto alleen, als hij minder dan 10 jaar oud is, heeft tientallen processors die verantwoordelijk zijn voor alles, van het bedienen van de radio tot het remmen. Een spook / meltdown-achtige bug op de pauzes van je auto is een beangstigende gedachte.

Deze bugs doen zich voor omdat hardware-ontwerp is hard. Als onderdeel van mijn onderzoek moest ik processors ontwerpen en implementeren. Ze laten werken is uitdagend genoeg, maar zorgen dat ze veilig zijn? Exponentieel moeilijker.

Sommigen herinneren zich wellicht dat Intel in 1994 een rij buggy-processors moest terugroepen, die hen miljoenen dollars kostte. Dit was een geval waarbij de beste chipontwerpers ter wereld een gebrekkige chip produceerden. Geen beveiligingsrisico, maar een onjuist resultaat bij sommige bewerkingen.

Dit is veel gemakkelijker te detecteren en te corrigeren dan een beveiligingslek, dat vaak genuanceerd is - mensen die meer willen weten over de Spectre / Meltdown-exploit zullen het zien als een zeer, zeer verfijnde aanval. Vorig jaar vond een cybersecurity-onderzoeker verschillende ongedocumenteerde instructies op een Intel i7-processor. Instructies zijn de atomaire bewerkingen die een processor kan uitvoeren: bijvoorbeeld het toevoegen van twee getallen of het verplaatsen van gegevens van de ene plaats naar de andere. Elk programma dat u uitvoert, voert waarschijnlijk duizenden of miljoenen instructies uit. De ontdekte exemplaren worden niet vermeld in de officiële handleiding, en voor sommigen blijft hun exacte gedrag onduidelijk.

De processor die u bezit en gebruikt, kan dingen doen waarover de leverancier u niet vertelt. Maar is dit een documentatieprobleem? Of een echte ontwerpfout? Intellectuele eigendom geheim? We weten het niet, maar het is waarschijnlijk een ander beveiligingsrisico dat wacht om te worden uitgebuit.

De kwetsbaarheden van hardware

Waarom is hardware zo fundamenteel onveilig? Ten eerste is beveiliging een aspect dat vaak over het hoofd wordt gezien in een technische opleiding in het hele spectrum van hardware tot software. Er zijn zoveel tools, concepten en paradigma's die studenten moeten leren, dat er weinig tijd is om beveiligingsoverwegingen op te nemen in het curriculum; afgestudeerden worden verwacht om te leren op het werk.

Het neveneffect is dat in veel branches veiligheid de kers op de taart is en geen fundamenteel ingrediënt. Dit begint gelukkig te veranderen: cyberbeveiligingsprogramma's duiken op universiteiten op en we worden steeds beter in het trainen van veiligheidsbewuste ingenieurs.

Een tweede reden is complexiteit. Bedrijven die fiches maken, ontwerpen ze niet noodzakelijkerwijs helemaal opnieuw, omdat de bouwstenen van derden worden gekocht. Tot voor kort kocht Apple bijvoorbeeld ontwerpen voor de grafische processor op iPhones van Imagination Technologies. (Ze zijn sindsdien verhuisd naar interne ontwerpen). Idealiter komen specificaties perfect overeen met het ontwerp. In werkelijkheid kunnen ongedocumenteerde of onjuist gedocumenteerde functies in verschillende bouwstenen op subtiele manieren samenwerken om beveiligingslacunes te creëren die aanvallers mogelijk misbruiken.

In tegenstelling tot software hebben deze zwakke punten langdurige gevolgen en worden ze niet gemakkelijk gecorrigeerd. Veel onderzoekers dragen bij aan het oplossen van deze problemen: van technieken om te controleren of ontwerpen overeenkomen met specificaties tot geautomatiseerde hulpmiddelen die interacties tussen componenten analyseren en gedrag valideren.

Een derde reden is schaalvoordelen. Vanuit zakelijk oogpunt zijn er slechts twee games in de stad: prestaties en stroomverbruik. De snelste processor en de langste levensduur van de batterij winnen de markt. Vanuit technisch oogpunt zijn de meeste optimalisaties schadelijk voor de beveiliging.

In veiligheidskritieke real-time systemen (denk aan autonome auto's, vliegtuigen, enz.), Waar hoe lang er is iets nodig om uit te voeren, is van cruciaal belang. Dit is al een tijdje een probleem. Huidige processors zijn ontworpen om zo snel mogelijk uit te voeren meestal en zal af en toe lange perioden duren; voorspellen hoe lang iets gaat duren is ongelooflijk uitdagend. We weten wel hoe je voorspelbare processors moet ontwerpen, maar vrijwel geen zijn commercieel beschikbaar. Er is weinig geld te verdienen.

Veranderende focus op cyberbeveiliging

Op de lange termijn zal hetzelfde niet gelden voor de beveiliging. Naarmate de leeftijd van het Internet of Things aanbreekt, en het aantal verwerkers per huishouden, voertuig en infrastructuur blijft toenemen, zullen bedrijven ongetwijfeld overstappen op beveiligingsbewuste hardware.

Beter opgeleide ingenieurs, betere tools en meer motivatie voor beveiliging - wanneer een stempel van beveiligingskwaliteit betekent dat u meer verkoopt dan uw concurrenten - zullen op alle niveaus streven naar een goede cyberbeveiliging.

Tot dan? Misschien hebben buitenlandse landen zich ermee bemoeid, misschien niet; ongeacht, vertrouw je hardware niet. Die vervelende update-melding die steeds weer opduikt? Bijwerken. Een nieuw apparaat kopen? Controleer het beveiligingsverslag van de fabrikant. Complex advies over het kiezen van goede wachtwoorden? Luister. We proberen je te beschermen.

Dit artikel is oorspronkelijk gepubliceerd opThe Conversation door Paulo Garcia. Lees hier het originele artikel.

$config[ads_kvadrat] not found