HARD CORE SECURITY LAB

Jeśli nie zaczęli wbudowywać, to zaczną w najbliższym czasie.

Skoro można odczytać firmware urządzenia, to można też je porównać (sumy kontrolne) z odczytem z drugiego, identycznego urządzenia ale kupionego w innym państwie. W przypadku wystąpienia różnicy wiemy, że coś jest nie tak. Oczywiście nie trzeba od razu zamawiać drugiej karty sieciowej, być może jako konsumenci powinniśmy wymagać od producenta dostarczenia sum kontrolnych (skoro nie chcą dać źródeł) firmware i metod pozwalających na weryfikację poprawności oprogramowania na naszym sprzęcie.
Nie uchroni to przed złośliwym działaniem producenta, ale jak najbardziej uchroni przed działaniami dystrybutorów i wirusów.

Czy w przypadku DMA sprzęt powinien mieć prawa do zapisu w całej pamięci? Rozumiem, że dla siebie dostaje trochę, w celu przyspieszenia działania. Ale czy powinien mieć dostęp do pamięci systemu operacyjnego? Czy dostęp jest niezależny od OSu, czy system może jednak zastrzec pewien obszar, tak że sprzet nie ma do niego dostępu?

akapit tekstu: "Rootkity obecne na naszych dyskach twardych w postaci plików zdolnych do upośledzania działania systemu operacyjnego lub rozmaitych rozwiązań ochronnych w celu ukrycia właściwej infekcji stanowią spore zagrożenie, z całą pewnością nie są jednak niewykrywalne." ... z moich doświadczeń wynika, że nie ma się nigdy pewności, że malware-rootkit nie pozostawił śladów po sobie w formie trudnej do identyfikacji, nawet jeśli maszyna została przeskanowana z poziomu innej, to i tak często bywało, ze po usunięciu szkodników, system zachowywał się sporadycznie podejrzanie, chociaż dostępne narzędzia mówiły o braku takowych zagrożeń na dysku. Co do rootkit'a sprzętowego, to niestety smutną wiadomość przynosi ten artykuł, bo niestety nie zawsze istnieje możliwość dokonania zrzutu takiego wbudowanego firmware, a jeśli nawet się to uda, to analiza często bywa niemożliwa. Tylko tego brakuje, żeby 'wiodący' producenci zaczęli gmerać takimi sprawami .... Sony już w swojej historii pokazywało takowe zapędy, wiec wszystko jeszcze przed nami .... .

podobno ochronę przed tego typu atakami może zapewnić wykorzystanie sprzętowego mechanizmu zwanego IOMMU, który wirtualizuje adresy pamięci fizycznej dostępnej dla DMA (tak jak MMU wirtualizuje przestrzenie adresowe procesów). Jest to obecne w najnowszych płytach głównych, ale ciekawe kiedy, jeśli w ogóle pojawi się wsparcie w mainstreamowych OS'ach. QubesOS to wykorzystuje, ale jest to system obecnie raczej eksperymentalny.

Rozwiązanie proste. Stworzyć otwartą wersję firmware i pilnować by cały czas była w niezmienionej formie na naszym epromie cyklicznie pobierając i porównując z oryginałem (na podst. sum kontrolnych).

Zabawy w ograniczanie dostępu do DMA mija się z celem, po to był stworzony, by był szybki i nie miał ograniczeń.

zawsze mozna uruchomic na routerze po drodze tcpdumpa i na "podejrzanym" kompie a pozniej porownac te pakiety ;)