Loading article…
悪意のあるメイド攻撃とは、無人デバイスに対する攻撃であり、物理的にアクセスできる攻撃者が検出されない方法でデバイスを改ざんし、後でデバイスまたはそのデバイス上のデータにアクセスできるようにします。
この名前は、ホテルの部屋に放置されたデバイスをメイドが破壊するシナリオを指していますが、この概念自体は、デバイスが輸送中に傍受されたり、空港や法執行機関の職員によって一時的に持ち去られたりする状況にも当てはまります。
概要
起源
2009年のブログ記事で、セキュリティアナリストのジョアンナ・ルトコフスカは、ホテルの部屋がデバイスが放置される一般的な場所であることから、「Evil Maid Attack（邪悪なメイド攻撃）」という用語を作り出した。[1] [2]その記事では、外付けUSBフラッシュドライブを介して無人コンピュータのファームウェアを侵害し、 TrueCryptディスク暗号化を回避する方法が詳しく説明されている。[2]
コンピュータセキュリティの専門家であるD. Defreez氏は、2011年に初めてAndroidスマートフォンに対する悪意のあるメイド攻撃の可能性について言及しました。 [1]彼は、WhisperCore Androidディストリビューションと、Androidにディスク暗号化を提供する機能について話しました。[1]
注目度
2007年、元米国商務長官カルロス・グティエレス氏は中国出張中に邪悪なメイドによる攻撃を受けたとされている。[3]彼は北京での貿易交渉中にコンピューターを放置し、自分のデバイスが不正アクセスされたのではないかと疑った。[3]この疑惑はまだ確認も否定もされていないが、この事件により米国政府は物理的な攻撃に対してより警戒するようになった。[3]
2009年、シマンテックのCTOマーク・ブレグマンは、中国に渡航する前にデバイスを米国に置いていくよう、複数の米国政府機関からアドバイスを受けた。[4 ]彼は、データを回収するための物理的な試みが無効になるように、出発前に新しいデバイスを購入し、帰国後に処分するよう指示された。[4]
攻撃方法
古典的な邪悪なメイド
攻撃は被害者がデバイスを放置したときに始まります。[5]その後、攻撃者はシステムを改ざんすることができます。被害者のデバイスにパスワード保護や認証がない場合、侵入者はコンピュータの電源を入れ、すぐに被害者の情報にアクセスできます。[6]ただし、フルディスク暗号化のようにデバイスがパスワードで保護されている場合は、デバイスのファームウェアを侵害する必要があります。これは通常、外付けドライブを使用して行われます。[6]次に、侵害されたファームウェアは、元のパスワードと同じ偽のパスワードプロンプトを被害者に提供します。 [6]パスワードが入力されると、侵害されたファームウェアはパスワードを攻撃者に送信し、再起動後に削除されます。[6]攻撃を成功させるには、攻撃者はデバイスが放置された後、2回目に戻って、アクセス可能になったデータを盗む必要があります。[5] [7]
もう一つの攻撃方法はDMA攻撃で、攻撃者は物理アドレス空間に直接接続するハードウェアデバイスを介して被害者の情報にアクセスします。[6]攻撃者は情報にアクセスするためにハードウェアデバイスに接続するだけで済みます。
ネットワーク悪メイド
悪意のあるメイド攻撃は、被害者のデバイスを同一のデバイスに置き換えることによっても実行できます。[1]元のデバイスにブートローダパスワードがある場合、攻撃者は同一のブートローダ パスワード入力画面を持つデバイスを入手するだけで済みます。[1]ただし、デバイスにロック画面がある場合、攻撃者は模倣デバイスのロック画面に表示する背景画像を入手する必要があるため、プロセスはより困難になります。[1]いずれの場合も、被害者が偽のデバイスでパスワードを入力すると、デバイスは元のデバイスを所有している攻撃者にパスワードを送信します。[1]その後、攻撃者は被害者のデータにアクセスできます。[1]
脆弱なインターフェース
レガシーBIOS
レガシー BIOSは、悪意のあるメイド攻撃に対して安全ではないと考えられています。[8]アーキテクチャが古く、アップデートとオプションROMは署名されておらず、構成は保護されていません。[ 8]さらに、セキュアブートをサポートしていません。 [8]これらの脆弱性により、攻撃者は外付けドライブから起動してファームウェアを侵害することができます。 [8]侵害されたファームウェアは、キーストロークをリモートで攻撃者に送信するように構成できます。 [8]
統合拡張ファームウェアインターフェース
統合拡張ファームウェアインターフェイス（UEFI）は、悪意のあるメイド攻撃を軽減するために必要な多くの機能を提供します。[8]たとえば、セキュアブートのフレームワーク、ブート時の認証変数、TPM初期化セキュリティを提供します。[8]これらのセキュリティ対策が利用可能であるにもかかわらず、プラットフォームメーカーはそれらを使用する義務がありません。 [8]そのため、これらの未使用の機能によって攻撃者がデバイスを悪用できるようになると、セキュリティ上の問題が発生する可能性があります。[8 ]
フルディスク暗号化システム
TrueCryptやPGP Whole Disk Encryptionなどの多くのフルディスク暗号化システムは、ユーザーに対して認証ができないため、悪意のあるメイド攻撃を受けやすい。[9]攻撃者は、デバイスの電源がオフになっていて暗号化されているにもかかわらず、ディスクの内容を変更できます。[9]攻撃者は、暗号化システムのローダーコードを変更して、被害者からパスワードを盗むことができます。[9]
ブートローダーとオペレーティングシステムの間に通信チャネルを作成し、FileVault 2 で保護されたディスクのパスワードをリモートで盗む機能も調査されています。[10] macOS システムでは、この攻撃は「パスワード転送」テクノロジにより追加の影響を与えます。このテクノロジでは、ユーザーのアカウント パスワードが FileVault パスワードとしても機能し、権限の昇格による追加の攻撃対象領域が可能になります。
落雷
2019年に、多くのPCで見つかったIntel Thunderboltポートの「 Thunderclap 」という脆弱性が発表されました。この脆弱性により、不正な行為者がダイレクトメモリアクセス（DMA）を介してシステムにアクセスできるようになります。これは、入出力メモリ管理ユニット（IOMMU）を使用しているにもかかわらず可能です。[11] [12]この脆弱性は、ベンダーによって大部分が修正されました。2020年には「 Thunderspy 」が続きましたが、これは修正不可能であると考えられており、DMAを同様に悪用してすべてのセキュリティ機能をバイパスしてシステムへの完全なアクセスを取得できます。[13]
無人デバイス
無人デバイスはどれも、ネットワークの悪意あるメイド攻撃に対して脆弱です。[1]攻撃者が被害者のデバイスを十分に知っている場合、パスワードを盗むメカニズムを備えた同一モデルのデバイスに被害者のデバイスを置き換えることができます。[1]したがって、被害者がパスワードを入力すると、攻撃者は即座にその通知を受け取り、盗まれたデバイスの情報にアクセスできるようになります。[1]
緩和
検出
1つのアプローチは、誰かが無人デバイスの近くにいるか、無人デバイスを扱っていることを検知することです。近接アラーム、モーション検出器アラーム、ワイヤレスカメラを使用して、攻撃者がデバイスの近くにいるときに被害者に警告し、悪意のあるメイド攻撃の驚きの要素を無効にすることができます。[14] Haven Androidアプリは、そのような監視を行い、結果をユーザーのスマートフォンに送信するために2017年にエドワードスノーデンによって作成されました。[15]
上記がない場合、さまざまな種類の改ざん防止技術を使用して、デバイスが分解されたかどうかを検出できます。これには、ネジ穴にグリッターマニキュアを塗るという低コストの解決策も含まれます。[16]
攻撃が疑われる場合、被害者はデバイスにマルウェアがインストールされていないかチェックしてもらうことができますが、これは困難です。推奨されるアプローチは、選択したディスクセクターとパーティションのハッシュをチェックすることです。[2]
防止
デバイスが常に監視下に置かれていれば、攻撃者は悪意あるメイド攻撃を行うことはできません。[14]デバイスが放置されている場合、攻撃者が物理的にアクセスできないように、デバイスをロックボックス内に置くこともできます。[14]ただし、空港や法執行機関の職員がデバイスを一時的に持ち去る場合など、これが現実的でない状況もあります。
最新のファームウェアを使用することや、デバイスを放置する前にシャットダウンすることなどの基本的なセキュリティ対策により、従来のアーキテクチャの脆弱性を悪用した攻撃や、外部デバイスが開いているポートに侵入することを防ぐことができます。[5]
TRESORやLoop-AmnesiaなどのCPUベースのディスク暗号化システムは、データがシステムメモリに漏洩しないようにすることで、DMA攻撃に対する脆弱性を防ぎます。[17]
TPM ベースのセキュア ブートは、デバイスをユーザーに対して認証することで、悪意のあるメイド攻撃を軽減することが示されています。[18]これは、ユーザーが正しいパスワードを入力し、デバイス上で不正なコードが実行されていないことを確認した場合にのみロックを解除することによって行われます。[18]これらの測定は、Microsoft のBitLockerや Intel の TXT テクノロジなどの信頼のルート システムによって行われます。[9] Anti Evil Maid プログラムは、TPM ベースのセキュア ブートに基づいて構築され、デバイスをユーザーに対してさらに認証しようとします。[1]
参照
参考文献
- ^ abcdefghijkl Gotzfried, Johannes; Muller, Tilo. 「Android のフルディスク暗号化機能の分析」(PDF)。革新的情報科学技術研究グループ。2018年10 月 29 日閲覧。
- ^ abc Rutkowska, Joanna (2009-10-16). 「The Invisible Things Lab のブログ: Evil Maid が TrueCrypt を狙う!」The Invisible Things Lab のブログ. 2018-10-30閲覧。
- ^ abc 「中国人が内閣官房長官のラップトップをハッキングしたのか？」msnbc.com 2008年5月29日2018年10月30日閲覧。
- ^ ab Danchev, Dancho. 「『Evil Maid』USBスティック攻撃でTrueCryptのパスフレーズがキーログに記録される」ZDNet 。2018年10月30日閲覧。
- ^ abc 「F-Secure の邪悪なメイド攻撃ガイド」(PDF) . F-Secure . 2018 年10 月 29 日閲覧。
- ^ abcde 「「邪悪なメイド」を阻止する [LWN.net]」lwn.net . 2018年10月30日閲覧。
- ^ ホフマン、クリス（2020年9月28日）。「「邪悪なメイド」攻撃とは何か、そしてそれは私たちに何を教えてくれるのか？」ハウツーギーク。 2020年11月21日閲覧。
- ^ abcdefghi Bulygin, Yuriy (2013). 「Evil Maid Just Got Angrier」（PDF）。CanSecWest 。 2016年6月10日時点のオリジナル（PDF）からアーカイブ。 2018年10月29日閲覧。
- ^ abcd Tereshkin, Alexander (2010-09-07). 「Evil maid goes after PGP whole disk cryptography」. Proceedings of the 3rd international conference on Security of information and networks - SIN '10 . ACM. p. 2. doi :10.1145/1854099.1854103. ISBN 978-1-4503-0234-0. S2CID 29070358。
- ^ Boursalian, Armen; Stamp, Mark (2019年8月19日). 「BootBandit: macOSブートローダー攻撃」.エンジニアリングレポート. 1 (1). doi : 10.1002/eng2.12032 .
- ^ スタッフ（2019年2月26日）。「サンダークラップ：現代のコンピューターは悪意のある周辺機器に対して脆弱です」 。 2020年5月12日閲覧。
- ^ Gartenberg, Chaim (2019年2月27日). 「『Thunderclap』脆弱性によりThunderboltコンピュータが攻撃にさらされる恐れ - 覚えておいてください: コンピュータに適当なものを差し込まないでください」。The Verge 。 2020年5月12日閲覧。
- ^ Ruytenberg, Björn (2020年4月17日). 「Breaking Thunderbolt Protocol Security: Vulnerability Report. 2020」(PDF) . Thunderspy.io . 2020年5月11日閲覧。
- ^ abc Danchev、Dancho。「『Evil Maid』USBスティック攻撃でTrueCryptのパスフレーズがキーログに記録される」ZDNet 。2018年10月30日閲覧。
- ^ Shaikh, Rafia (2017-12-22). 「エドワード・スノーデンがあなたの携帯電話を「番犬」に変えるお手伝いをします」Wccftech . 2018-10-30閲覧。
- ^ 「Evil Maid 攻撃により、サイバー犯罪者はわずか数分でデバイスにファームウェア バックドアをインストールできる可能性があります | Cyware」。Cyware。2018年10 月 30 日閲覧。
- ^ Blass, Erik-Oliver; Robertson, William (2012-12-03). TRESOR-HUNT: CPU バウンド暗号化の攻撃. ACM. pp. 71–78. doi :10.1145/2420950.2420961. ISBN 978-1-4503-1312-4. S2CID 739758。
- ^ ab Rutkowska, Joanna (2015 年 10 月). 「Intel x86 は有害と考えられる」(PDF) . Invisible Things . S2CID 37285788.