"Rambo" olarak adlandırılan yeni bir yan kanal saldırısı (hücum için hava engelli bellek veriyolunun radyasyonu), hava engelli bilgisayarlardan veri göndermek için bir cihazın RAM'ından elektromanyetik radyasyon üretir.
Hükümetler, silah sistemleri ve nükleer elektrik santralleri gibi son derece yüksek güvenlikli gereksinimlere sahip görev açısından kritik ortamlarda kullanılan hava engelli sistemler, kötü amaçlı yazılım enfeksiyonları ve veri hırsızlığını önlemek için kamu internet ve diğer ağlardan izole edilir.
Bu sistemler daha geniş bir ağa bağlı olmasa da, yine de fiziksel medya (USB sürücüleri) veya devlet aktörleri tarafından yürütülen sofistike tedarik zinciri saldırıları yoluyla kötü amaçlı yazılımlar getiren haydut çalışanlar tarafından enfekte olabilirler.
Kötü amaçlı yazılım, hava kapalı sistemin RAM bileşenlerini bilgisayardan yakındaki bir alıcıya aktarılmasını sağlayacak şekilde modüle etmek için gizli çalışabilir.
Bu saldırı kategorisine giren en son yöntem, ağ kartı LED'lerini, USB sürücü sinyallerini, SATA kablolarını ve güç kaynaklarını kullanarak veri sızdırmak için daha önce veri sızdırmak için yöntemler geliştiren gizli saldırı kanallarında deneyimli bir uzman olan Mordechai Guri tarafından yönetilen İsrail Üniversitesi araştırmacılarından geliyor. .
Rambo saldırısını yürütmek için bir saldırgan, hassas verileri toplamak ve iletim için hazırlamak için hava engelli bilgisayara kötü amaçlı yazılım bitkiler. Cihazın RAM'ından kontrollü elektromanyetik emisyonlar oluşturmak için bellek erişim modellerini (bellek veriyolunda okuma/yazma işlemleri) manipüle ederek verileri iletir.
Bu emisyonlar aslında RAM içindeki elektrik sinyallerini hızla değiştiren (açılan anahtarlama "OOK"), güvenlik ürünleri tarafından aktif olarak izlenmeyen ve işaretlenemeyen veya durdurulamayan bir süreç olan kötü amaçlı yazılımların bir yan ürünüdür.
Yayılan veriler, radyo sinyallerinde "açık" ve "kapalı" olarak temsil edilen "1" ve "0" olarak kodlanır. Araştırmacılar, hata algılamasını geliştirmek ve sinyal senkronizasyonunu sağlamak için Manchester kodunu kullanmayı seçerek alıcının sonunda yanlış yorumlama şansını azaltır.
Saldırgan, modüle edilmiş elektromanyetik emisyonları kesmek ve bunları ikili bilgilere dönüştürmek için bir anten ile nispeten ucuz bir yazılım tanımlı radyo (SDR) kullanabilir.
Rambo saldırısı, saniyede 1.000 bit'e (BPS) kadar veri aktarım oranlarına ulaşarak saniyede 128 bayta veya 0.125 kb/s'ye eşittir.
Bu oranda, 1 megabayt veri yaymak yaklaşık 2,2 saat sürecektir, bu nedenle Rambo metin, tuş vuruşu ve küçük dosyalar gibi küçük miktarlarda veri çalmak için daha uygundur.
Araştırmacılar, saldırıyı test ederken Keylogging'in gerçek zamanlı olarak gerçekleştirilebileceğini buldular. Bununla birlikte, bir şifre çalmak 0,1 ila 1.28 saniye sürer, 4096 bit RSA anahtarı 4 ila 42 saniye arasında ve şanzımanın hızına bağlı olarak 25 ila 250 saniye arasında küçük bir görüntü alır.
Hızlı şanzımanlar maksimum 300 cm (10 ft) aralığı ile sınırlıdır ve bit hata oranı%2-4'tür. Orta hızlı şanzımanlar aynı hata oranı için 450 cm'ye (15 ft) mesafeyi arttırır. Son olarak, neredeyse sıfır hata oranlarına sahip yavaş iletimler, 7 metreye (23 ft) kadar mesafelerde güvenilir bir şekilde çalışabilir.
Araştırmacılar ayrıca 10.000 bps'ye kadar iletimleri denediler, ancak 5.000 bps'i aşan bir şeyin etkili veri iletimi için çok düşük bir sinyal-gürültü oranıyla sonuçlandığını buldular.
ARXIV'te yayınlanan teknik makale, Rambo saldırısını ve benzer elektromanyetik tabanlı gizli kanal saldırılarını azaltmak için çeşitli hafifletme önerileri sunar, ancak hepsi çeşitli genel giderler sunar.
Öneriler arasında fiziksel savunmayı geliştirmek için katı bölge kısıtlamaları, kaynaktaki gizli kanalları bozmak için RAM sıkışması, radyo sinyallerini bozmak için harici EM sıkışması ve hava kaplı sistemlerin harici olarak yayılan EM radyasyonunu engellemek için Faraday muhafazalarını içerir.
Araştırmacılar Rambo'yu sanal makinelerde çalışan hassas süreçlere karşı test ettiler ve etkili kaldığını buldular.
Bununla birlikte, ana bilgisayarın belleği ana bilgisayar işletim sistemi ve diğer VM'lerle çeşitli etkileşimlere eğilimli olduğundan, saldırılar muhtemelen hızla bozulacaktır.
Linux Çekirdeği Yeni Slüm Çapraz Önbellek Saldırısından Etkilendi
Kaynak: Bleeping Computer