תוכן העניינים
בנוף המשתנה ללא הרף של אבטחת סייבר, התפיסה של "אבטחה לעומק" היא קריטית - שילוב של הגנות שונות לצמצום סיכויי הניצול. בעוד חומות אש, אנטי וירוסים וחיזוק מערכות הפעלה הם נושאים נפוצים, התוקפים יכולים גם להטמיע פונקציות זדוניות ישירות בחומרה. יותר חודרניות ומתמשכות מאשר רוב האיומים מבוססי התוכנה, דלתות אחוריות בחומרה מסכנות פשרה מערכתית ולאיתור בלתי נראה.
בפוסט זה נבצע ניתוח טכני מעמיק של דלתות אחוריות בחומרה, תוך התמקדות בדוגמאות מפורסמות כמו רקשאסה ורוזנברידג'. נבחן את פעולתן, ההשלכות שלהן בעולם האמיתי, ונציע אסטרטגיות לזיהוי ומניעה עבור אנשי IT ואנשים שמודעים לאבטחת מידע. לאותם חדשים בנושא, תבינו את היסודות, ולעובדים מתקדמים, אנו מציעים מתודולוגיה, דוגמאות קוד, ואינטגרציות זרימת עבודה.
דלת אחורית בחומרה היא דרך נסתרת, לא מאושרת, המשובצת בתוך מכשיר מחשוב פיזי. בשונה מדלתות אחוריות בתוכנה, אלו הם חלק מהחומרה עצמה - אם זה לוח האם, מעבד, כרטיס רשת או קושחה בתוך אותם רכיבים.
מאפיינים עיקריים:
מטרות נפוצות:
בואו נסקור דלתות אחוריות בחומרה שהיו להן השפעה מופת די נרחבת על האופן שבו אנו מגדירים ומגנים מפני איומי חומרה.
רקשאסה היא אולי דלת האחורית בחומרה המפורסמת ביותר כהמצגה טכנית, שהוצגה על ידי החוקר האבטחה ג'ונתן ברוסארד ב-DEF CON 20 (2012). מדובר בקושחה אוניברסלית, ניידת ביותר, שיכולה לשכון ב-BIOS/UEFI של כמעט כל לוח אם מודרני.
כי רקשאסה משתמשת בקושחת קוד פתוח סטנדרטית, היא יכולה להיות מובנת על מאות לוחות אם ממפיקים שונים - עוקפת את הפעלת Secure Boot אם אינו מופעל או פגיע.
רוזנברידג' היא דלת אחורית בחומרה שיכולה להיות מושתלת בקושחת Baseboard Management Controller (BMC) — המחשב הזעיר שמשובץ ברוב לוחות האם של שרתים לניהול מרחוק.
דלתות אחוריות בחומרה יכולות להיות מושתלות דרך:
*התקפות אלו מנצלות שרשאות אספקה לא שקופות ומפוזרות מאוד - טא
קשב מרכזי בתשתית IT מודרנית.*
| אספקט | דלת אחורית בחומרה | דלת אחורית בתוכנה |
|---|---|---|
| התגנבות | התגנבות מאוד גבוהה | לרוב זיהוי אפשרי עם כלים טובים |
| מתמשכות | שורדות פירמוטים והתקנות מחדש | מוסרות עם התקנת מערכת הפעלה מחדש |
| קושי בהסרה | קשה (דורש פלאש/החלפת חומרה) | קל (הסרה או מחיקת דיסק) |
| שטח התקפה | שרשרת אספקה, השחתה פיזית | רשת, עדכוני תוכנה |
| השפעה | פשרה מוחלטת במערכת | מיחסת או תלויה בהרשאות |
דוגמה 1: ריגול תאגידי
ספק מרכזי של מדינות הגדיר ללא מודע שרתים עם קושחה BMC שעברה שינוי. אף על פי שהקשיחו את המערכת ברמת מערכת הפעלה, תוקפים עקפו חומות אש דרך ה-BMC, והעבירו מידע קנייני במשך חודשים.
דוגמה 2: פעילויות מדינית-אנושיות
חומרת רשת מותאמת שנמכרה למדינה בעלת קשרים לאחר מכן הייתה זוהה כמפעילה תעבורה לאתרים לא ידועים. הסיבה: שבב נוסף שהותקן בייצור, מתפקד כממשק רשת חלופי.
דוגמה 3: נתבים לבית הצרכן
סדרת נתבים לצרכן נמכרה עם טיפוסי "מנהל" בלתי מתועדים. התוקפים השתמשו בהם לאסוף נתבים לרובוטים — בלתי גלוי, שכן סריקות קושחה רגילות והראו עליהם נכון.
גילוי הוא מרדף נשק, אבל קיימות מספר מתודולוגיות.
חילוץ קושחה של חומרה (BIOS, UEFI, BMC) והשוואה מול המקור מקורי של ספק, בחיפוש אחר שינויים חשודים או מטענים לא מתועדים.
flashrom: לקריאה/כתיבה לשבבי-BIOS.binwalk: לניתוח בינארי.UEFItool ו-Firmware Mod Kit: לניתוח תמונות קושחה מורכבות.דלתות אחוריות יכולות להעביר מידע פתוח או להאזין לפקודות דרך ערוצי רשת מסתרים.
אין שיטה בודדת שמבטיחה הגנה מושלמת על חומרה מפני דלתות אחוריות, אבל ההגנה לעומק מקטינה את הסיכון.
בואו נעבור מתיאוריה לפרקטיקה. להלן: זרימת עבודה ודוגמאות קוד טיפוסיות לזיהוי דלתות אחוריות בחומרה.
שלב 1: זיהוי שבב BIOS
רוב שבבי ה-BIOS/UEFI הם שבבי SPI FLASH מולחמים ללוח האם.
שלב 2: צירוף מתכנת או שימוש ב-flashrom
אם מערכת התומכת בכך, השתמש ב-flashrom:
sudo flashrom -p internal -r backup_bios.bin
-p internal: השתמש במתכנת פנימי (פועל על כמה שבבים)-r backup_bios.bin: קריאה לקובץ קושחהשלב 3: השווה מול מקור טוב
sha256sum backup_bios.bin reference_bios.bin
שלב 4: ניתוח חריגות
השתמש ב-binwalk לחילוץ וניתוח תכנים עבור מודולים או מטענים יוצאים דופן.
binwalk -e backup_bios.bin
ללכוד תעבורה ברשת בעת אתחול והשווה למצב בסיסי.
sudo tcpdump -i eth0 -w boot_traffic.pcap
דוגמה לפייתון להוצאת כתובות IP מ-PCAP:
from scapy.all import rdpcap
packets = rdpcap('boot_traffic.pcap')
ips = set()
for pkt in packets:
if pkt.haslayer('IP'):
ips.add(pkt['IP'].dst)
print("כתובות IP ייחודיות:", ips)
נניח שאתה מחפש מחרוזות של פקודות ושליטה ידועות בתוך תמונת קושחה:
def search_strings(filename, keywords):
with open(filename, 'rb') as f:
data = f.read()
findings = {}
for kw in keywords:
pos = data.find(kw.encode())
if pos != -1:
findings[kw] = pos
return findings
# שימוש
keywords = ['netcat', 'sshd', 'backdoor', 'open', 'shell']
findings = search_strings('backup_bios.bin', keywords)
print(findings)
מציאת מחרוזות ASCII בתמונות קושחה:
strings backup_bios.bin | grep -i 'ssh\|netcat\|bin/sh\|password'
יצירת diff (לתוכן ASCII):
diff <(strings backup_bios.bin) <(strings reference_bios.bin)
דלתות אחוריות בחומרה מייצגות אחת מהחזיתות הכי מפחידות באבטחת סייבר: מתמדת, כמעט בלתי ניתנת לגילוי, ועמידה בפני רוב ההגנות מבוססות תוכנה. התקפות כמו רקשאסה ורוזנברידג' מזכירות לנו שהגנה על מחשבים "מהיסוד" אינה פנטזיה אקדמית אלא מטלה מבצעית דחופה.
כדי להגן מפני איומים אלו, עלינו לשלב ניהול קשוב של שרשראות האספקה, שורשי אמון קריפטוגרפיים, קושחה וחומרה פתוחות, ונ
יטור פעיל רב תכליתי. למרות שלא קיימת מערכת חסינה לחלוטין, גישה מודעת ומודרנית מגדילה את העלות והמורכבות של התקפות מוצלחות.
היו ערניים, בדקו לעומק, ודרשו שקיפות בחומרה שלכם.
של ה-NSA](https://www.spiegel.de/international/world/catalog-reveals-nsa-has-back-doors-for-numerous-devices-a-940994.html) 10. בלומברג: הפגיעה הגדולה
צריך עוד עזרה? חקור יוזמות חומרה פתוחה, עקוב אחר התראות אבטחה מספקים מובילים, וחקור קהילות מקצועיות של אבטחת מידע כדי להישאר מעודכן על איומים מתפתחים.
אם מצאתם את התוכן הזה בעל ערך, תארו לעצמכם מה תוכלו להשיג עם תוכנית ההכשרה המקיפה והאליטיסטית שלנו בת 47 שבועות. הצטרפו ליותר מ-1,200 סטודנטים ששינו את הקריירה שלהם בעזרת טכניקות יחידה 8200.