In Thunderbolt wurde eine große Sicherheitslücke entdeckt, die alle PCs mit dem Port betrifft. Das beinhaltet Windows, Linux und sogar Macs. Der Fehler ermöglicht es einem Hacker, auf Daten auf einem gesperrten Computer zuzugreifen, selbst wenn sein Laufwerk verschlüsselt ist.
Die Sicherheitslücke „Thunderspy“ besteht aus 7 Sicherheitslücken, die in neun realistischen Szenarien genutzt werden können. Entdeckt wurden sie vom Forscher Björn Ruytenberg von der Technischen Universität Eindhoven. Ein Hacker mit den richtigen Tools und physischem Zugriff auf einen Computer mit Thunderbolt-Port kann den gesamten Inhalt seines Laufwerks lesen und kopieren, selbst wenn das Laufwerk verschlüsselt und der PC gesperrt ist. Der Hacker braucht mit der Maschine nur etwa 5 Minuten, muss sie aber mit einem Schraubendreher öffnen, um ein bösartiges Thunderbolt-Gerät daran zu befestigen.
Im Folgenden sind die sieben entdeckten Schwachstellen aufgeführt, die alle Versionen von Thunderbolt betrafen:
- Unzureichende Firmware-Verifizierungsschemata
- Schwaches Geräteauthentifizierungsschema
- Verwendung nicht authentifizierter Gerätemetadaten
- Downgrade-Angriff mit Abwärtskompatibilität
- Verwendung nicht authentifizierter Controller-Konfigurationen
- Mängel der SPI-Flash-Schnittstelle
- Keine Thunderbolt-Sicherheit auf Boot Camp
Diese Schwachstellen führen zu neun praktischen Ausnutzungsszenarien. In einem Bedrohungsmodell der bösen Jungfrau und unterschiedlichen Sicherheitsstufen demonstrieren wir die Fähigkeit, beliebige Thunderbolt-Geräteidentitäten zu erstellen, vom Benutzer autorisierte Thunderbolt-Geräte zu klonen und schließlich PCIe-Konnektivität für die Durchführung von DMA-Angriffen zu erhalten. Darüber hinaus zeigen wir das nicht authentifizierte Überschreiben von Sicherheitsstufenkonfigurationen, einschließlich der Möglichkeit, die Thunderbolt-Sicherheit vollständig zu deaktivieren und die Thunderbolt-Konnektivität wiederherzustellen, wenn das System ausschließlich über USB und/oder DisplayPort geleitet wird. Wir schließen mit der Demonstration der Möglichkeit, die Thunderbolt-Sicherheit dauerhaft zu deaktivieren und alle zukünftigen Firmware-Updates zu blockieren.
Da die Sicherheitslücken im Thunderbolt-Controller selbst vorhanden sind, kann dieser nicht per Software-Update gepatcht werden. Sie sind auch im kommenden USB4-Standard enthalten, der auf Thunderbolt 3 basiert.
Alle Macs mit einem seit 2011 veröffentlichten Thunderbolt-Port sind ebenfalls von dem Exploit betroffen. Allerdings ist macOS nur teilweise von Thunderspy betroffen. Beachten Sie, dass es einen Unterschied zwischen USB-C- und Thunderbolt-Anschlüssen gibt. Das 16-Zoll-MacBook Pro und die High-End-Varianten des 13-Zoll-MacBook Pro verfügen über vier Thunderbolt-Anschlüsse, während nur das 13-Zoll-Basis-MacBook Pro über zwei Thunderbolt- und zwei USB-C-Anschlüsse verfügt. Apple wurde ebenfalls über die Sicherheitslücken informiert und das Unternehmen hat hierzu folgende Stellungnahme abgegeben:
Einige der von Ihnen beschriebenen Hardwaresicherheitsfunktionen sind nur verfügbar, wenn Benutzer macOS ausführen. Wenn Benutzer Bedenken hinsichtlich eines der Probleme in Ihrem Artikel haben, empfehlen wir ihnen, macOS zu verwenden.“
Hier können Sie mehr über Thunderspy lesen.
