前不久，微软推出了新一代的 Surface 设备，但仍然没有配备最新的雷电 3 接口。对此，微软曾解释称雷电 3 接口连接标准中的一个漏洞，“有被黑客访问内存的风险”。
近日，安全研究人员 Björn Ruytenberg 就通过视频演示了如何利用 Thunderspy 工具绕过各种安全措施直接访问内存对 PC 进行攻击。
5 分钟解锁 Windows 设备
https://v.qq.com/x/page/g0965xg1m70.html
在视频中，这位研究人员卸下了电脑的后盖，并将设备连接到受密码保护的 Lenovo ThinkPad 笔记本电脑的内部，禁用了它的安全性，并好像拥有密码一样登录。整个过程大约需要五分钟。
具备物理访问设备权限的攻击者都可以通过他使用的 Thunderspy 工具，创建任意的Thunderbolt 设备身份。通过克隆用户授权的 Thunderbolt 设备，获得 PCIe 连接并进行 DMA 攻击。
该漏洞允许未经认证的覆盖安全级别配置，包括完全禁用 Thunderbolt 安全保护。即使设备被限制只通过 USB 和/或 DisplayPort 传输，仍旧可以通过该漏洞恢复 Thunderbolt 连接并永久禁用 Thunderbolt 安全保护盒后续的固件更新。
尽管雷电接口的这个安全漏洞在许多情况下，都需要使用螺丝刀打开目标笔记本电脑的外壳，但它不会留下任何入侵的痕迹，并且只需几分钟即可完成。
在报告中，Björn Ruytenberg 表示该漏洞会影响在 2011-2020 年之间发售并配备 Thunderbolt 的设备，且无法通过软件修复。此外自 2019 年以来提供 Kernel DMA 保护的设备，都存在该漏洞。
并且，这一漏洞很有可能会影响到未来的 USB 4 和 Thunderbolt 4 等标准，只有重新设计芯片才能解决。
未被解决的历史遗留问题
其实，这个漏洞早在 2014 年就出现了。英特尔在该事件的回应中也表示，这不是一个新的漏洞，并且已在去年的操作系统版本中得到了解决。
但据《连线》报道说，这个问题似乎尚未得到普遍解决。安全研究人员表示，他们找不到“任何具有保护功能的戴尔计算机”，并且只验证了某些惠普和联想笔记本电脑使用了该保护。
不过对于这类攻击，英特尔确实推出了相应的应对措施。他们最近新推出了一套名为 Kernel Direct Memory Access Protection 的 Thunderbolt 安全系统，可以抵御 Ruytenberg 的 Thunderspy 攻击，但问题是该套方案仅对不早于 2019 年生产的电脑有效。
也就是说，目前市面上有数百万的设备要面临仍存在受到这类攻击的风险，并且无法避免。而这可能也是微软 Surface 选择不配备 Thunderbolt 的原因。
对于这一漏洞，苹果用户是不需要担心的。但 MacOS 系统的笔记本如果启动了 Bootcamp，就将会禁用所有 Thunderbolt 安全保护，从而产生安全风险。
用户应该怎么办？
对此，Ruytenberg 表示用户要完全防止这种攻击的唯一方法是，在计算机的 BIOS 中禁用计算机的 Thunderbolt 端口，启用硬盘驱动器加密，并在无人看管时关闭计算机。
Ruytenberg 之前分别在今年 2 月 10 日和 4 月 17 日将漏洞细节分享给了英特尔和苹果。为了让用户查看自己的电脑是否有收到攻击的风险，研究人员开发了一款名为 Spycheck 的工具，可通过 Thunderspy 网站使用该工具进行确认。
- END -
