LANtenna hack espia seus dados do outro lado da sala! (Tipo de)

Se você é um ouvinte do Naked Security Podcast (e se não for, experimente e assine se gostar!), talvez se lembre de uma observação bem-humorada sobre ataques de 'banda lateral' e truques sorrateiros de exfiltração de dados que o especialista da Sophos Chester Wisniewski fez em um episódio recente.

Estávamos conversando sobre como impedir que cibercriminosos roubem carteiras de criptomoedas, e observei que o tamanho modesto dos arquivos da carteira os tornava não apenas mais fáceis de identificar, mas também mais rápidos de escapar de uma rede depois de localizados.

A piada de Chester neste ponto foi:

Assim que você disse isso, minha mente foi para aqueles pesquisadores da Universidade Ben Gurion que estão sempre fazendo algum tipo de ataque de banda lateral… [por exemplo,] eles variam a frequência das lâmpadas para vazar 11 bytes de dados do computador. Estou apenas esperando que eles vazem uma carteira Bitcoin tocando música nos alto-falantes, ou algo assim!

Bem, a espera de Chester pode ter acabado. (Em teoria, pelo menos.)

Mordechai Guri, da já mencionada Universidade Ben Gurion do Negev (BGU), em Israel, publicou recentemente um novo artigo sobre 'exfiltração de dados' detalhando uma maneira inesperadamente eficaz de extrair quantidades muito pequenas de dados de uma rede cabeada sem usar nenhum tipo óbvio de interconexão .

Este tem direitoLANTENNA: Exfiltrando dados de redes sem espaço por meio de cabos Ethernet, e é a mais recente de muitas publicações da BGU nos últimos anos, lidando com um problema complicado de segurança cibernética, a saber…

…como dividir uma rede em duas partes, executando em diferentes níveis de segurança, que podem, no entanto, cooperar e até mesmo trocar dados quando necessário, mas apenas de maneiras estritamente controladas e bem monitoradas.

Desconectar fisicamente as duas redes para que a intervenção humana seja necessária para mover dados entre elas parece uma solução óbvia, criando o proverbial "air gap" mencionado no título do artigo de Guri.

Normalmente, isso também significa proibir protocolos de comunicação "ao ar livre", como Bluetooth e Wi-Fi, pelo menos no lado mais seguro da rede, de modo que quaisquer pontos de interconexão genuinamente exijam algum tipo de interação física.

Você pode, no entanto, permitir tecnologias sem fio (possivelmente limitadas) no lado menos seguro da rede, desde que nenhuma emanação do lado inseguro possa ser recebida, seja por acidente ou projeto, no lado seguro, e desde que haja não há emanações detectáveis ​​do lado seguro que possam ser captadas do lado inseguro.

Ao mesmo tempo, airgaps físicos, como conectar um cabo de rede em um soquete especial ou usar um dispositivo USB cuidadosamente verificado em uma porta USB específica, foram considerados uma boa solução para esse problema, embora até airgaps baseados em USB possam às vezes ser violados, como qualquer um que tenha estudado o infame vírus Stuxnet saberá.

O Stuxnet foi programado para danificar uma peça específica de equipamento de controle industrial se alguma vez fosse executado em um computador conectado da maneira certa ao tipo certo de dispositivo.

Por muito tempo, ninguém conseguiu descobrir qual era o tipo de equipamento "certo" (ou errado), porque o vírus não identificava o hardware pelo nome, mas apenas por algumas características arbitrárias que precisavam corresponder.

O quebra-cabeça era um pouco como tentar encontrar uma única pessoa na Terra com base apenas em uma impressão digital parcial e sua idade aproximada.

Por fim, foi localizado um dispositivo que correspondia à pergunta "se parece com o que queremos?" regra codificada no Stuxnet, e acabou por ser um tipo de centrífuga industrial (usada para separar substâncias complicadas com características quase idênticas, mas não totalmente idênticas, como diferentes isótopos de urânio) conhecida por ser usada no Irã.

Você provavelmente pode extrapolar o resto da saga do Stuxnet por si mesmo se ainda não estiver familiarizado com ela.

Mas e quanto à exfiltração de dados através de um airgap em um mundo pós-Stuxnet, onde os operadores de redes airgapped se tornaram muito mais rígidos sobre os "controles de fronteira" entre os dois lados da rede?