Нов риск за сигурността: изтичат данни от RAM

Критична информация може да изтече от RAM паметта, в резултат на електромагнитно излъчване (снимка: CC0 Public Domain)

Израелски експерти по киберсигурност откриха нов начин за кражба на данни от изолирани компютърни системи, използвани в критични инфраструктури, включително военни инсталации, правителствени агенции и атомни електроцентрали. Тези системи са отрязани физически от интернет, за да се предпазят от външни заплахи. Но един нов тип атака, наречена RAMBO, може да прихване чувствителна информация, като използва електромагнитното излъчване, генерирано от работата на RAM паметта.

Въпреки липсата на директна връзка с интернет, системите с въздушна междина (Air-gapped) все още изглеждат податливи на кибератаки, отбелязва BleepingComputer. Нападателите могат да инжектират зловреден софтуер чрез физически носители, като USB устройства, или да използват по-сложна верига от действия, за да установят комуникация с компютъра.

Зловредният софтуер, вграден в системата, може тихо да манипулира компонентите на RAM паметта, генерирайки контролирани електромагнитни импулси, които предават информация от компютъра. Данните се кодират в RF сигнали, където “1” и “0” са представени като “включено” и “изключено”.

За по-надеждно предаване и намаляване на грешките се използва манчестърски код, който представлява е абсолютно двуимпулсно кодиране на оригиналните двоични данни с помощта на двоичен цифров сигнал. Хакер може да прихване тези сигнали с помощта на евтини софтуерно дефинирани радиостанции (SDR) и да ги декодира обратно в двоичен код.

В същото време скоростта на трансфер на данни по време на атаката RAMBO (Radiation of Air-gapped Memory Bus for Offense) е ниска и достига 1000 бита в секунда (bps), което е еквивалентно на 0,125 KB/s. Но според изследователите, “това е достатъчно за кражба на малки количества данни, като текст, натискания на клавиши и малки файлове”. Например, кражбата на парола отнема между 0,1 и 1,28 секунди, а на 4096-битов RSA криптиран ключ – между 4 и 42 секунди.

От друга страна, обхватът на предаване на данните зависи от скоростта на предаване. При максимална скорост (1000 бита в секунда) сигналът е стабилен на разстояние до 3 метра, но с увеличаване на разстоянието вероятността от грешки също се увеличава. Когато скоростта се намали до 500 бита в секунда и по-ниска, обхватът на предаване може да достигне 7 метра.

Изследователите са експериментирали с по-високи скорости, но установяват, че над 5Kbps сигналът става твърде слаб, за да предава надеждно информация. „Открихме, че скоростта на данни не трябва да надвишава 5000 бита в секунда, в противен случай сигналът става твърде слаб и съдържа много шум”, споделят авторите на изследването.

Израелските експерти предлагат няколко метода за защита срещу RAMBO атаки и други подобни методи. Такива, например, са подобрена физическа защита, потискане на електромагнитните емисии, генерирани от паметта с произволен достъп (RAM), външни радиочестотни смущения и използване на екраниращи кутии на Faraday за блокиране на електромагнитни емисии.

Изследователите също така са тествали ефективността на атаката RAMBO върху виртуални машини и са установили, че уязвимостта се проявява дори в тази среда. Но взаимодействието на RAM паметта в хост системата с операционната система и други виртуални машини може да доведе до неуспех на атаката.

„Показахме, че атаката RAMBO работи във виртуални среди, но въпреки това, взаимодействието с хост системата може да доведе до нейния срив”, заключават изследователите.