UCLA(カルフォルニア大学ロサンゼルス校)の教授である John Villasenor氏は「ハードウェアをハッキングから守るために大きなコストがかかるわけではなく、また難しいわけでもないが、多くの企業はそのことに注意を払っていない」と述べ、世の中に脆弱性のあるハードが多く流通していることを指摘。今後、ハードウェアの脆弱性を突くことで、たとえば携帯電話の機能を停止させたり、クリティカルなシステムにダメージを与えるような攻撃が行われる可能性があると指摘している。
by
Anonymous Coward
on 2010年08月08日 16時33分
(#1806801)
These are the voyages of the hardware hackers. It's continuing mission, to explore strange new gadget, to seek out new defect and new vulnerability, to boldly hack that no one has hacked before...
ぱらのいや (スコア:5, 興味深い)
・組込機器のチップの外部調達が増えている。
・悪意のあるチップ設計者によって、余計な機能が組み込まれるかもしれない。（機器を停止したり、情報を外部に転送したり）
・各ブロックが互いを信用しない構成をとり、不正な動作を検出・停止する必要がある。
・回路規模は数％増えるかもしれないが国防関係者なら評価してくれるだろう。
つまり……
中国やイスラエルの情報収集機関が、情報を横取りしたり機器を強制停止する蟲を仕込む*かもしれない*から対策しておけ、という事でしょうか？
（個人で行っても旨味はないよね。 愉快犯ならありえるけど経歴を棒に振る程の喜びが得られるものなの？）
notice : I ignore an anonymous contribution.
Re:ぱらのいや (スコア:2, おもしろおかしい)
DRAMにだってやろうと思えば、ウィルス入れられるよね。
政府調達が無茶苦茶になってきてるから、確かに国防レベルだと
心配した方がいいと思う。
Re: (スコア:0)
これのどこが「おもしろおかしい」なの?
Re: (スコア:0)
DDR3とかだと、どのOSに刺さるか大体解るしだろうしね。
1Gチップに512バイトほど不正コードを突っ込んで、ある種の
条件でのみアクセスさせるってのは可能だよ。
Re: (スコア:0)
電源供給なしでも内容を保持できるものは DRAM とは呼びません。
Re:ぱらのいや (スコア:1, 興味深い)
君がDRAMと思っているものに
攻撃者がROMでもフラッシュメモリでもなんでも積んでる
って可能性を考えたことはないのかい?
Re: (スコア:0)
Re: (スコア:0)
DRAM に見せかけたなにかを作れるとして、それをどうやって活用するかは難しいですね。
DRAM に書かれた内容をすべて WiFi で外部に送るとか？
Re:ぱらのいや (スコア:1)
DRAMチップ内は制御回路があるからその気があればチップ内のROMなり回路に不正なコードを混ぜることは可能。
ここで、「不正なコードがいるのはメモリセルそのものじゃない」と言われれば仰る通り。
ユーザにとっては、メモリセルに直接アクセスできない以上はセル内だろうと制御部だろうと差はないけど。
ユーザにとって瑣末な話を続けてみる。
DRAMのメモリセルそのものに初期値をもたせることは可能だろうか?
DDR3はリセット端子があるけど、それを各セルにつなぐのは容易ではないか…な?。
Re:ぱらのいや (スコア:1)
POSTコード辺りはまだ固定値だと思うので、初期化時にBIOSを改竄＞ROM領域から仮想マシン注入＞正規OS起動とかでしょうかねぇ？
Re:ぱらのいや (スコア:4, 興味深い)
DRAMの場合、1本だけ使うのならともかく、複数挿して使う場合に
どのようにメモリの中身をマシンから見えるようにするかは実装依存ですよね。
極端な話、データバス側をてんでバラバラに接続してても各ビットが確実に読み書きできれば問題ないし、
SDRAMのようにメモリチップ内部が高速アクセスのため複数のバンク構成を採っている場合でも、
どのアドレスにどのスロットのどのバンクを割り振るかはホスト側で決められることで、
それをDRAM自体が知っている必要は全くない。おそらく物理アドレスと仮想アドレスの関係も知らんでしょう。
確かにメインメモリ上にアドレス変換テーブルは展開されているでしょうが、どのアドレスにそれが来るのか、
おそらくDRAM側では見当もつかないだろうと思います。それをチェックするロジックはかなり大規模になるでしょう。
当然、DRAMとしては貴重な回路面積を多量にもっていかれて容量が減ってしまいます。
しかも確実にそのチップに変換テーブルが載るかどうか確実ではない。
その上、たいていのCPUはキャッシュを持ってますから、正確にデータの書き換えられた履歴を追っかけるのも難しい。
そう考えると、確実にどう読まれるか予想できるROM上のファームウェアと比較して、苦労の多さに比較して
得られるモノは少ないので、何が書かれるか分からないDRAMのほうに何か仕込むのは難しいと思いますよ。
Re:ぱらのいや (スコア:1)
まず、私が想定してるのは単なるDRAMチップでなく、DRAMモジュールを想定していました。
現行のPCを攻撃ターゲットとした場合、CPUとメモリコントローラーに関しては種類が限られます。
特にAMDは既に長期に渡りCPUに内蔵されており、Intelもi7から内蔵されていますのでメモリアクセス方法はかなり固定されます。
マッピングテーブルに関して実は資料が公開されてる場合もありまして、AMDに関してはBIOS and Kernel Developer’s Guide [amd.com]を参照すれば詳しく載っています。
そもそも、攻撃対象が判明してるなら、電源投入直後に書き込まれる内容を元にどのバンクが割り当てられたか各々のメモリが判別可能と思われます。
# 極論、対象のどのスロットに差し込まれてもOK、それ以外だったら無効化される程度の自由度さえあればOK(むしろ発覚させない為にその方が好ましい)。
また現行メモリはヒートスプレッダが装備されるケースもあり、その際は物理的に基盤パターンやチップを隠蔽可能となります。
この場合別にDRAMモジュールの内部に実装する必要すらなく、隙間から見える形さえ気にすればある程度堂々と仕込めます。
例えば片面は本物のDRAMで、反対側のDRAMは偽装されたROMと高周波デバイスのような形ですね。
BGAなら、足の本数もわからないでしょうし
攻撃手法として今のPOSTコードやBIOSはまだASLRの様な所まで辿り着いていないのではないでしょうか？
でしたら、本物のBIOSが起動する前や途中に独自の攻撃コードをスタックオーバーラン等のようなアドレス書き換えの要領で起動させ、
ハイパーバイザとして起動後に本物のBIOSのように振舞ってしまえば外部からは簡単には判らなくなります。
そして後の全てのコードは攻撃者のハイパーバイザ上で稼動するのでお好きに煮るなり焼くなりすれば良いのです。
場合によっては、POSTコード・BIOSがキャッシュに全て収まってしまうので実際には無理という可能性もありますが・・・
もちろん、言う程この手法は簡単ではないでしょうね。
少なくともメモリに使われる信号を読めて改竄する必要がありますし、本当に可能なのか？記憶領域の問題等がありますから。
Re:ぱらのいや (スコア:1)
所詮キャパシタの塊なんだから、メモリセルの初期値はランダムと言うのが建前ですよね？
BIOSがメモリチェックして固定パターン書き込んで初期化する。
供給電圧が特定の値＆＆リフレッシュサイクル（でいいのか？）の時のアドレスが特定の時だけビットパターンが面白いことになるというのはやれなくないように思えますけど。
これを応用すると、メモリチェックでは大丈夫でも某かの消費電力制御ソフトと特殊なDRAMでバックドアが形成出来てしまうかも知れない。
或るパワーステートで、確実にあるアドレスをアクセスするソフトがあれば、この実行コードをすり替えることが出来る。とか…
Re:ぱらのいや (スコア:1)
Re: (スコア:0)
普通、DRAMセルといえば1ビットを記憶する単位のことなんで、その中に数Kバイトも書けたら、そりゃすごいなあ、と思ってしまいました。
上の方にも「1Gチップに512バイトほど不正コードを突っ込んで」とかいう話があったけど、512バイトの連続領域が1チップに記憶されると思っているのかと。
Re: (スコア:0, フレームのもと)
> 上の方にも「1Gチップに512バイトほど不正コードを突っ込んで」とかいう話があったけど、512バイトの連続領域が1チップに記憶されると思っているのかと。
頭が固いおじさんだな。
不正コードを1チップに記憶されなきゃいけない必然性はないでしょ。
DRAMにDRAM以外の何かを入れる時点で、もう何でもありですよ。
DRAMモジュールにCPUを載せてDRAMをエミュレートして、
高度な条件下でDRAM内容を書き換えるってことも可能かと。
そのうち、WiFiも搭載されたりするんでしょか。
Re:ぱらのいや (スコア:3, 興味深い)
さらに冷やせば電源落としても記憶保持できる時間を延長できるし。
8ビットマイコンで当時の64KBサイズのDRAMの場合、10秒くらいは余裕でしたっけ。
リセット後にウォームスタートかけてDRAMにロードされたメモリイメージをブッコ抜くぐらいは
普通にできました。
スペックシート上では2ms以内に128Cycle(7bit)分のリフレッシュが必要なはずなんですけどね。
Cold Boot Attack (スコア:1, 興味深い)
この攻撃への対策として，共通鍵暗号方式AESの暗号化処理をRAMではなくSSE命令のレジスタだけを用いるように改良したAESSEという実装方式がEUROSEC 2010 [iseclab.org]という学会で発表されているそうです（ 論文 [sigops-france.fr]と著者のブログ [w0rm.de]で公開されているスライド資料 [w0rm.de]）
Re: (スコア:0)
バカとか言ってるんじゃないよな。
Re: (スコア:0)
「DRAM に偽装した何か」ならまだしも、DRAM にウィルスを仕込むと書いてたらやっぱりネタ扱いでしょう。
Re:ぱらのいや (スコア:1, おもしろおかしい)
・秋葉原にも偽Intel CPUが流れたことがある。
・米国政府でも偽Cisco装置をつかまされている。
・インド政府は一部の中国製通信機に盗聴チップが入っていると主張している。
ただし、盗聴チップが入っていることの真偽は不明。
一つ言えるのは、パチンコ/パチスロの裏ROMは「最後のフロンティア」を先取りしているってことでしょうか。
Re: (スコア:0)
>偽Intel CPU
秋葉に幾度か出回ったのは、偽というかリマーク品では。
いやまあ、確かに表記とは違うんですが、元々はIntel製の正規のCPUではありますよね。
さすがにあの規模の回路になるとばれないような偽物を作るのもとんでもない労力が要りますので、他者の作った偽物は現時点では心配要らない気が。
（組み込み機器のASICレベルならともかく）
言っとくが俺は、最初からクライマックスだぜぇ！ (スコア:3, おもしろおかしい)
むかしむかし、あるところに住んでいた青年は
2600Hzの音を出して電話交換機を騙すブルーボックスという機械を売って
一儲けしたそうな。
そのおかげでいまではアップルマークがトレードの会社のお偉いさんになり
ジェイルブレイクを嫌うという昔と逆の立場になりましたとさ。
＃設計はWozniak氏、販売はJobs
Re:言っとくが俺は、最初からクライマックスだぜぇ！ (スコア:1)
Re:言っとくが俺は、最初からクライマックスだぜぇ！ (スコア:2)
今どきの電話回線は2600Hzの笛ごときでクラックできないでしょうよ。
歴史的遺物としては価値があるかもしれないけれど。
Re:言っとくが俺は、最初からクライマックスだぜぇ！ (スコア:1)
ジョークソフトのつもりで書いたとか言っても後出しじゃんけんとか
言われそうだな～。
ああ、いっそ2600Hzの音だけじゃなくて電話回線用モデムのピーヒョロ
ヒョロガーみたいな音も出せて雰囲気を味わえますとかするとか!
ハードウェア != ファームウェア (スコア:2)
ファームに感染するやつは既にいるから、そうでなくてハードそのものの部分に対しての話だよね？
ちなみに私には、NICのデータアクセスランプのチカチカを見て通信内容が読める、と主張する知り合いがおります。
Re:ハードウェア != ファームウェア (スコア:1)
ウィンドウズ９５とか、そういう時代からある話でありますな……
あれが光ってると、通信している機械が外部からわかるから危険だとか、ケーブルタグで機器がばれるから全て色を統一して、床下を網の目に配線とか……
世紀末のデータセンターはマジカオス
セキュリティに目覚めたばかりの幼い人類もマジカオス
それはおいといて、点滅をカメラで撮影して解析とか、暗号化してないなら、理屈では出来そうでありますが……
実際、どうなんだろう？
内部の通信に点滅は追いついてるのかな？
Re:ハードウェア != ファームウェア (スコア:3, 参考になる)
パケットの受信(送信)をトリガとして目に見えるように引き延ばしてるだけなので、データの0/1は関係ありません。
あと、最小点灯時間を設定できる物もあるため、パケットサイズの解析も難しいかと思います。
（パケットが大きい場合は何とかなるかもしれないけど・・・）
＃そもそも目視用のLEDを100M、1Gで点滅されてたまるか！、という話しもある（笑
たぶんだけど、頻度分析では（Re:ハードウェア != ファームウェア (スコア:3, 興味深い)
NICって一応タイミングで点滅しているはずなので、プロトコルによっては特徴的なタイミングで光るのでは。
例えば昔猛威をふるったBlasterワームに感染してパケットを投げ出すと、ずっとNICが点滅しっぱなしになるので目測でも絞り込みが出来ました。
正確には頻度分析とは言わないのかも知れませんが:-)
昔居たレコードをみて曲が当てられるなんて人も、たぶん溝が読めるのではなくて何となくの粗密パターンから当てたんじゃないかなあと。
# ちなみに、今回のストーリーを見て思い出したのは「大平面の小さな罪」です。あれは良いSFであった:-P
Re:ハードウェア != ファームウェア (スコア:2, おもしろおかしい)
ビカビカ光るのが見たければ100BASE-FXとかFibreChannelですな（嘘
光ファイバを直に覗いても見えないどころか目にダメージを負う恐れがありますので、よい子は試しちゃダメだよ！
Re: (スコア:0)
56Kモデムの頃は、0と1をRX/TX確認用LEDでまともに出力していた物もあり
「通信内容がだだ漏れだから、見えないようにLEDにテープを貼る」事を
推奨されていた機種もありました。
ランプの点滅がいい加減になったのはそのせいだとか (スコア:2)
対策としてはキャパシタを一つ…
アクセスランプの点滅はデータの0/1ではない (スコア:2)
NICやハブコントローラの仕様書とかを見ると
Blinking speed of activity
1(Default): ON 43ms, then OFF 43ms
0: ON120ms, then OFF120ms
とかになっていたりする。
アクセスランプは本当にアクセスしているかどうかがわかる程度。
Re:ハードウェア != ファームウェア (スコア:1)
NICの負荷とか高周波成分がLEDに回り込んでたら解らんでもない気がしなくもないですが相当難しいとは思います。
カメラ撮影では時間解像度不足で解らない気がします。10BASE-T時点で10MHzとか有りますからね。
ただ、攻撃対象として重要なポートである(管理用ポート)って言うのを見破れるかもしれません。
# 同様にケーブルを森の中に隠すのは、物理的な接続をされてパケットキャプチャ/進入防止の為とか？
Re: (スコア:0)
根本的には若干意味合いが違います (スコア:0, オフトピック)
今回はちょっと意味合いが違います。
例えば、最近は家電製品に対してＬＡＮポートが付くようになってますが
ちょい昔には某社のデジタル家電が、ハッキングの対象にあい他のネットワークにたいして
悪さをするということもありました。
また最近では、某社のテレビに対してごにょごにょ（ここまだ公表されていないので規制）すると
アレレなことになるなどもあります。
またシステムＬＳＩの開発者が、独自の嫌がらせを仕込むこともありますし
だいぶ前に
Hardware, the final frontier. (スコア:2, おもしろおかしい)
それって (スコア:1)
でっきるかな？ (スコア:1, 興味深い)
IDEのスレーブのコネクタには、マスターの信号が出ているのかな？
ハードディスクそっくりのデータロガーをつくって、差し込んだら、データを吸い取れる？
ちなみにUSBやPS2のキーロガーはすでに売ってる。
Re:でっきるかな？ (スコア:1)
接続後に暗号化されてるかもしれない、書き込まれるデータならば吸えるかも。
まぁ、バスを物理的に共有するインタフェース(SCSIとかPCIとか)の宿命かもしれませんね。
全記録しなくても、HDDパスワードが解るだけでも便利かも。
SATAだとちと面倒ですが、中継するデバイス自体は世の中に出回ってしかもF/W書き込み可なのでF/Wを書けばロガーを自作できると思います。
該当機器の動作プラットフォームを良く知らないので私は作れませんが・・・
見た目はHDDとかけ離れますけどね。
まぁ、物理アクセス可能という時点で元コメントはかなりアレなケースっぽいですが、ソーシャルハックと組み合わせて、
保守員を装って仕掛け＞正規起動＞短期間で故障やら初期不良を装って中身引き上げ。とか美味しいかもしれません。
一定時間稼動してると警戒するでしょうけど、初期不良って言われたら見逃しされそうだしねぇ。
# 別にHDDとかに限った話じゃないですけど。当然真似・実行しない事。セキュリティポリシー監査で使えるかもしれないけど。
motor (スコア:1, おもしろおかしい)
20 GOTO 10
でしたっけ？
Re:motor (スコア:1)
-- 哀れな日本人専用(sorry Japanese only) --
最後のフロンティアは生物では？ (スコア:1)
即死させる本物のウイルスを遺伝子操作で作成したら
人類滅亡で、本当の最後の最期。
Re:最後のフロンティアは生物では？ (スコア:1)
それなんてゼーガペイン？
Re:最後のフロンティアは生物では？ (スコア:1)
人から人以外の強力な感染経路がない限り。
でも、人類が滅亡しないためには、人類の中での遺伝的多様性は必要ですよね。
婉曲表現 (スコア:0)
iPhone のことですか？
Re:最後のフロンティア (スコア:1)
洗脳より、例えば日本脳炎の方が先だよね。
Re: (スコア:0)
だからそれらどの集団も、「教育」を狙いうちする。
教育の方向性を決める権限を持つ政治も含めて。決して政治だけを狙っているわけではない。
Re: (スコア:0)