הטענה החוזרת, שמושמעת ברשתות אונליין ובקהילת האבטחת מידע, היא ש_"בכל מחשב מודרני קיימת דלת אחורית בחומרה, אז למה לטרוח עם אבטחת סייבר בכלל?"_ משפטים בסוג זה נובעים מפרנויה, חשיפות מקריות על מעקב שחקנים מדינתיים, ומחקר חוקי על פגיעות חומרה והסתננויות בשרשרת האספקה. עם זאת, המציאות הטכנית של דלתות אחוריות בחומרה, היתכנותן, והשפעתן על אבטחת סייבר - מהלפטופ של המשתמש הממוצע ועד מרכזי הנתונים באבטחה גבוהה - הם נושאים מורכבים הראויים לבדיקה מדוקדקת ומפורטת.
בפוסט בבלוג הזה, נפרק מהן דלתות אחוריות בחומרה וכיצד (או אם) הן קיימות במכשירים המחשוביים המודרניים. נעסוק במקרים אמיתיים מהעולם, מדוע דלתות אחוריות בחומרה כל כך מדאיגות מבחינת אבטחה, המציאות המעשית של מציאתן והסרתן, ואמצעים מעשיים שתוכלו לנקוט - מהמעורבות הבסיסית ועד לגילוי מתקדם. לאורך הדרך, נשתמש בכלי מערכת הפעלה ותסריטים (Bash, Python) כדי להראות כיצד מגינים וחוקרים מתקרבים לניתוח חומרה.
מילות מפתח: דלת אחורית בחומרה, אבטחת חומרה, תקיפת שרשרת אספקה, אבטחת סייבר, קושחה, זיהוי, אבטחת מחשבים, rootkits חומרה, איומים מתמשכים מתקדמים
דלת אחורית בחומרה היא שיטה - לעיתים נסתרת וללא תיעוד - שנבנית בעיצוב הפיזי או בקושחה של רכיבים אלקטרוניים, שמאפשרת לתוקפים או לגורמים חשאיים לעקוף מגבלות אבטחה, לקבל שליטה או להוציא נתונים.
דלתות אלה יכולות להתקיים ברמות שונות:
בעוד שמספר דלתות אחוריות מונחות בכוונה על ידי יצרנים לצורך ניפוי באגים או תמיכה, אחרות עשויות להיות מוכנסות באורח זדוני במהלך תהליך העיצוב או בשרשרת האספקה של החומרה הגלובלית.
עם עליית הייצור החומרתי המולאם והצ'יפים המורכבים יותר, כמה מכשירים מודרניים כמעט ואינם חסינים לחלוטין מסיכון של חדירה בשרשרת האספקה או שלב העיצוב. לעיתים מציינים עיצובי מערכת על שבב (SoC) מורכבים, שיכולים לכלול מיליונים עד מיליארדים של טרנזיסטורים - דבר שמציב אתגר עבור רוב הארגונים לבצע בדיקה מקיפה.
בנוסף, רכיבי מערכת בסיסיים כמו:
...הם למעשה קופסאות שחורות, עם גישה מלאה לזיכרון המערכת, רשת, ולפעמים אחסון מתמשך, שמריצים את הקוד שלהם מחוץ לעיני מערכת ההפעלה הראשית שלך.
ואפילו ה-קטלוג ANT של ה-NSA—שנחשף בהדלפות של סנודן—חשף תוספי חומרה שעוצבו כדי לאפשר גישה מתמשכת לקצות הנקודות שהיו ממוקדות.
למרות שזה מוגזם לומר שכל מכשיר בוודאות ממוקד, המורכבות והאטימות הטבעית של החומרה (במיוחד קושחה סגורה) מציבה סיכון מתמיד אחד שקשה לשלול לחלוטין לגבי כל מכשיר מסוים.
ב-2018, פרסם בלומברג דו"ח מתפוצץ שטען כי שבבי מעקב קטנים הוכנסו ללוחות אם של Supermicro שהיו בשימוש אצל חברות גדולות בארה"ב, המאפשרים לתוקפים מרוחקים להוציא נתונים ולשלוט במערכות. חקירות עוקבות לא הצליחו לאשר את הפרטים, אבל הסיפור הדגיש את הסבירות והאימה של תקיפות חומרה בשרשרת האספקה.
מסמכים שהודלפו על ידי אדוארד סנודן פירטו טקטיקות של ה-NSA כמו "יירוט"—יירוט פיזי של חומרה במהלך השילוח, השתלת שבבי ריגול או קושחה מותאמת, ואז השליחה ליעד המקורי.
תולעת ה-Stuxnet לא ניצלה רק פגיעויות תוכנה אלא גם מניפולה של לוגיקת החומרה של PLCs של סימנס כדי לחבל בצנטריפוגות האיראניות. אף שזה לא "דלת אחורית" ממש, Stuxnet הראה כיצד מניפולציה של קושחה/חומרה יכולה לעקוף אפילו מערכות מבודדות מהרשת.
ב-2019, תוקפים פגעו בערוץ העדכונים של תוכנת Asus, ודחפו עדכוני קושחה זדוניים לעשרות אלפי לפטופים ברחבי העולם. המורכבות של המסירה המודרנית של עדכונים הופכת את התקיפות בשרשרת האספקה של חומרה/קושחה לאטרקטיביות עבור יריבים.
חוקרים הוכיחו שניתן לתכנת מחדש את קושחת ה-USB ברמת החומרה כדי לתפקד כהתקנים זדוניים, להתקין תוכנות זדוניות או לצפות בתעבורה, ולעקוף הגנות מסורתיות של מערכות ההפעלה.
דלתות אחוריות בחומרה מייצגות את התרחיש הגרוע ביותר באבטחה:
IME מריץ מערכת הפעלה מבוססת Minix על מעבד משנה נסתר, עם גישה מוחלטת ל-RAM של המערכת ולרשת, אך אינו ניתן לניהול ישיר על ידי משתמשים או מנהלים. באגים, פגמים בעיצוב, או דלתות אחוריות כאן הם מבהילים—פגיעויות ME ברמה גבוהה אחרונות (למשל, Intel-SA-00086) השפיעו על כמעט עשור של מעבדי אינטל.
תשובה קצרה: עבור רוב המשתמשים—לא. עבור חוקרים מיוחדים—לפעמים.
למה?
אפשר (לפעמים) להוריד קושחה מ:
...ולהשוות אותה לתמונות "נוחות" ידועות, לבדוק שינויים מוזרים/בלתי צפויים, או לסרוק חתימות של תוכנות זדוניות ידועות.
תעבורת רשת מיוצאת (למשל, מ-BMC/IME לכתובות IP לא מוכרות), הפעלות מחדש בלתי מוסברות, או תוכנות זדוניות מתמשכות יכולים להוות סימנים להתפשרויות ברמת נמוכה.
עם כלים כמו דימות רנטגן ומיקרוסקופיה אלקטרונית, מומחים יכולים להשוות שבבים חשודים לתוכניות המיועדות - מוגבל ברובו למוסדות מדינה או ליצרנים גדולים.
למרות שלא ניתן "לראות" דלת אחורית בחומרה במפורש, ניתן לבדוק, לגבות, ולנתח תמונות קושחה מסוימות והתנהגות מערכת באמצעות מערכות כלי קוד פתוח. להלן שיטות מעשיות למיקוד, המתמקדות בניתוח נגיש למשתמש.
# רשימת שבבים נתמכים
sudo flashrom -p internal
# הורדת ה-BIOS לקובץ
sudo flashrom -p internal -r bios_backup.bin
# (אופציונלי) השוואת הגיבוי לתמונה ידועה (אם קיימת)
cmp bios_backup.bin known_good_bios.bin
ניתן לנתח תמונות קושחה עבור דפוסים או מחרוזות חשודות.
strings bios_backup.bin | less
binwalk -e bios_backup.bin
ניתן לכתוב סקריפטים ב-Python כדי לחפש חתימות ידועות של דלתות אחוריות או נקודות קצה רשת מוזרות:
# דוגמה: סריקת כתובות IP חשודות בקושחה שהורדה
import re
with open('bios_backup.bin', 'rb') as f:
data = f.read()
# תבנית רגלש לכתובות IP (IPv4)
ips = re.findall(rb'\b(?:[0-9]{1,3}\.){3}[0-9]{1,3}\b', data)
unique_ips = set(ips)
print("כתובות IP שנמצאו:")
for ip in unique_ips:
print(ip.decode())
sudo tcpdump -i eth0 port 16992 or port 623
sudo netstat -ntp
זהה חיבורים רקעיים ממכשירים כמו BMCs או ה-IME, אשר לא צריכים "להתקשר הביתה" באופן רגיל.
לינוקס:
# רשימת מכשירי PCI (שימו לב למכשירים בלתי ידועים/ללא יצרן)
lspci -nn
# בדיקת עץ המכשירים של USB
lsusb
# רשימת כל חומרה, כולל בקרי מוטמעים
lshw -short
ניתוח עם Python:
import subprocess
output = subprocess.check_output(['lspci', '-nn']).decode()
for line in output.split('\n'):
if 'Unknown' in line or 'unclassified' in line:
print("מכשיר PCI חשוד:", line)
השווה את הקושחה השמורה לחתימות או הפריכים שסיפק היצרן כאשר זה אפשרי:
sha256sum bios_backup.bin
# השוואת תוצאת החתימה לפריך מהיצרן (אם קיים)
כאשר אפשרי, העדפה לקושחה בקוד פתוח (למשל, coreboot, Libreboot) על חומרה נתמכת. יוזמות אלה שואפות להחליף את קוד ה-BIOS/UEFI הסגור והאפור באלטרנטיבות ניתנות לבדיקה ואמיתות, ומפחיתות את הסיכון מדלתות אחוריות של היצרן.
באופן ריאלי, למשתמש הממוצע יש מעט מה לעשות כדי “להסיר” דלתות אחוריות בחומרה ממכשיר מסחרי מודרני. עם זאת, ניתן להפחית את הסיכון ולהגדיל את רמת המודעות שלך.
1. העדפה לחומרה וקושחה קוד פתוח
2. בידוד יחידות ניהול
3. ניטור תעבורה יוצאת
4. שמירה על שרשרת אספקה
5. שקול את מודל האיום
6. עדכון קושחה באופן סדיר
7. רשת מבודדת ובידוד פיזי
החששות לגבי דלתות אחוריות בחומרה הן מוצדקות, במיוחד עבור אלה שהאויבים שלהם עשויים לכלול אומות-מדינה או תוקפים ממומנים. למרות זאת, עבור הציבור הרחב ורוב הארגונים, הסבירות של פגיעה בדלת אחורית ברמת החומרה נמוכה הרבה יותר מאשר ניצול תוכנה.
עם זאת, מתקפות חומרה אכן מתרחשות, התערבות בשרשרת האספקה מהווה דאגה גוברת, וההיעדר של שקיפות במשטחי החישוב הכי בסיסיים שלנו הוא סכנה ממשית וקרובה לחובבי הפרטיות והביטחון.
לסיכום:
השאלה איננה “למה לטרוח?”—כלומר ** איך להילחם למען חומרה אמינה, תוך כדי אי הזנחת יסודות האבטחה התפעולית.**
יש שאלות או הצעות? שים אותן בתגובות או צור קשר דרך [דוא"ל מאובטח/צור קשר]
אם מצאתם את התוכן הזה בעל ערך, תארו לעצמכם מה תוכלו להשיג עם תוכנית ההכשרה המקיפה והאליטיסטית שלנו בת 47 שבועות. הצטרפו ליותר מ-1,200 סטודנטים ששינו את הקריירה שלהם בעזרת טכניקות יחידה 8200.