בעולם אבטחת המידע המודרנית, דלתות אחוריות בחומרה מהוות איום שהינו מתוחכם ומסובך. בניגוד לדלתות אחוריות בתוכנה—קוד זדוני המוטמן ביישומים או מערכות הפעלה—דלתות אחוריות בחומרה הן שינויים או תכונות זדוניות המוטמעים ישירות ברכיבים האלקטרוניים הפיזיים. הן מיועדות לעקוף אמצעי אבטחה מסורתיים וקשה מאוד, ולעיתים כמעט בלתי אפשרי, לזהות ולהסיר אותן באמצעות טכניקות רגילות כמו תוכנות אנטי-וירוס או סריקות מערכות הפעלה.
דלת אחורית בחומרה היא מנגנון חשאי המוטמע במכשיר פיזי (כגון מעבד, לוח אם, או כרטיס רשת) המאפשר למתקיף—או למי שעיצב את הדלת האחורית—לעקוף אימות, בקרה או שליטה סטנדרטיים. בהתאם לאופן ההשתלה שלהן, דלתות אחוריות אלו עשויות לספק למתקיפים מרוחקים או מקומיים גישה מתמדת, לאפשר להם לגנוב מידע רגיש, או להשחית תהליכים חישוביים בשקט.
בעוד שדלתות אחוריות בתוכנה ובחומרה הן נסתרות ומשמשות לאותה מטרה—גישה או שליטה בלתי מורשית—הן נבדלות באופן הביצוע, הזיהוי והעוצמה שלהן.
| היבט | דלת אחורית בתוכנה | דלת אחורית בחומרה |
|---|---|---|
| ביצוע | בקוד (יישומים, מערכת הפעלה, קושחה) | בחומרה (שבבים, מעגלים, קושחה) |
| זיהוי | אנטי-וירוס, סקירת קוד, יומנים | נדיר על ידי תוכנה; דורש ניתוח חומרה או ערוצי צד |
| הסרה | עדכון, התקנה מחדש | לעיתים בלתי אפשרי; דורש החלפת רכיבי חומרה |
| התמדה | נמחק בהתקנה מחדש או בעדכונים | שורד התקנות מחדש, גם החלפת קושחה |
| קושי בהשתלה | לרוב קל יותר | דורש גישה לתהליך הייצור או התכנון |
זה הופך את הדלתות האחוריות בחומרה לכלי מועדף עבור איומי קבע מתקדמים (APTs), שחקנים ברמה מדינית, ובמקרים רבים, ריגול תעשייתי.
דלתות אחוריות בחומרה אינן מונוליטיות; הן מופיעות במספר צורות בהתאם לאופן ולמתי הן מיושמות.
דלתות אלו מושתלות במהלך תהליך התכנון או הייצור—בין על ידי עובד מושחת, קבלן שנפרץ, או התערבות ממשלתית. עם התנפחות הבינלאומית של ייצור סיליקון, הדאגות גברו לגבי ייצור שבבים חוץ בנוגע.
דוגמה: שער לוגיקה מחודש שהשתלו ב-CPU שנפעיל רק כאשר מתקבלת סדרת הוראות או מתח ספציפיים.
מתקיפים עשויים ליירט מכשירים בדרך מהיצרן אל המשתמש הסופי ולשנות אותם פיזית—לדוגמה על ידי החדרת שבבים זדוניים, ניצול השתלות בגודל מיקרו-SD, או הוספת רכיבי חומרה שאינם ניתנים לזיהוי.
דוגמה: בשנת 2018, Bloomberg טענו על קיומה של "שבב ריגול" קטן יותר מגרגיר אורז שנמצא על לוחות אם של Supermicro שנמכרו לחברות טכנולוגיות בינלאומיות. הטענות היו שנויות במחלוקת והוכחשו על ידי מספר גורמים, אך הפלאוסביליות של התקפות כאלה מוכרת היטב בתעשייה.
לפעמים, הדלת האחורית שוכנת בקושחה ששולטת בחומרה. בעוד שהקושחה היא טכנית תוכנה, היא נקראת "דלת אחורית בחומרה" כאשר היא משולבת ברמה נמוכה מספיק—מתחת למערכת ההפעלה ולפעמים בלתי ניתנת לזיהוי על ידי כלים סטנדרטיים.
דוגמה: מערכת "Intel Management Engine" (IME, או ME) המופיעה על ערכות שבבים של אינטל מאז 2008, מריצה מערכת הפעלה סגורה עם גישה מעמיקה לזיכרון המערכת, אחסון ורשתות. בעוד שתוכננה לניהול מרחוק לגיטימי, חוסר השקיפות שלה אומר שדלת אחורית ברמת הקושחה כאן תהיה כמעט בלתי אפשרית לזיהוי על ידי משתמשים רגילים.
מפתח עם גישה מועדפת עשוי במכוון להכניס לוגיקה הפועלת כדלת אחורית במהלך שלב תכנון השבב. בגלל ששבבים מורכבים מאומתים דרך בדיקה רנדומלית/מוגבלת, לוגיקה כזאת יכולה להיות מתוכננת לשכב תרדמת, להתחמק מגילוי במהלך הבדיקה.
דוגמה: "Silencing Hardware Backdoors," מחקר באוניברסיטת קולומביה, מדגים כיצד דלתות אחוריות חומרתיות עדינות ומורכבות עשויות להישאר חבויות במהלך רוב שלבי האימות, ולהפעיל רק בתנאים מאוד ספציפיים ונדירים.
בניגוד לתוכנות זדוניות אשר ניתן לזהותן (לפחות בתיאוריה) באמצעות אנטי-וירוס או פורנזיקה של המערכת, דלתות אחוריות בחומרה הן במיוחד מבניות בתוך המעגלים של המכשיר. היא אחיזתה יכולה להיות כל כך סובטילית שבלי עיצוב אמין מקורי של המכשיר להשוות כנגד (ויכולת לפקח עליה ברמות מיקרוסקופיות או לוגיות), זיהוי משוער בטוב ביותר.
"אחד ההיבטים המפתחים של דלתות אחוריות חומרתיות שהופך אותן לכל כך קשות לגילוי במהלך האימות הוא שהן יכולות לשכב בתרדמה במהלך בדיקה (רנדומלית או מכוונת)."
– Silencing Hardware Backdoors – Columbia CS
מסמכים מסווגים אשר הודלפו על ידי אדוארד סנודן מציעים כי ה-NSA מיירטת משלוחי ציוד רשת ומפעילה חומרת מעקב לפני שהמכשירים מגיעים לרוכשים שלהם.
ה-ME הוא מיקרו-בקר סגור הפועל על כל ערכות שבבים של אינטל מאז 2008, עם גישה ברמת root. מומחי אבטחה ודוגלים בקוד פתוח הביעו דאגות רבות בנוגע להשלכות האבטחה שלה, הפוטנציאל לדלת אחורית, וחוסר השליטה שבידי המשתמש.
למרות הכחשות רשמיות, החשש מהשתלת בלתי ניתנת לזיהוי המוטמעת על לוחות אם בשלבי הייצור הכניס את התעשייה להלם, והדגיש את הסיכון שמייצגות דלתות אחוריות בחומרה.
נמצא חשבון SSH בלתי מתועד ודיפולטי בחלק מהציוד רשת של Cisco, עם גישה באמצעות סיסמה קבועה מראש.
הדגמות בכנסים מרכזיים לאבטחה, כגון Black Hat, הראו כיצד שחקנים מתקדמים יכולים להחדיר דלתות אחוריות ברמה מיקרוסקופית למעגלי לוגיקה שאינם ניתנים כמעט לגילוי.
בהינתן האופי החמקני שלהן, זיהוי דלתות אחוריות בחומרה לרוב דורש גישות רב-כיווניות. להלן נחקור טכניקות ממתחילים למתקדמים.
בדיקה פיזית יכולה לחשוף שינויים בולטים (ולפעמים סמויים).
כלים: מיקרוסקופים, סורקי x-ray או CT, קומפרטורים אופטיים.
שלבים:
קושחה, במיוחד למכשירים מורכבים כמו נתבים או מנועי ניהול, צריכה להיפרק ולהיות מנותחת לאנומליות.
פריקת קושחה בסיסית בשימוש ב-Linux:
# Use flashrom to read firmware
sudo flashrom -p internal -r backup.bin
חיפוש מחרוזות בקושחה
strings backup.bin | less
חפשו מילות מפתח חשודות (כגון "backdoor", "debug", "test", "admin", או כתובות IP).
עקבו אחרי התנהגות המכשיר לאנומליות:
שימוש ב-netstat כדי לרשום חיבורים לרשת:
sudo netstat -tunlp
אם דלת אחורית "מתקשרת הביתה," ניתן לעיתים לזהות זיהוי על ידי ניטור תנועת החוצה.
Sniff Traffic חשודה בעזרת tcpdump:
sudo tcpdump -i eth0 -nn
או השתמשו ב-Wireshark/Zeek לבדיקה מעמיקה יותר.
בעוד שגילוי דלתות אחוריות באמצעות קוד מוגבל, ניתן לאוטומט חלק מהיבטים של ניתוח התנהגות ויומנים.
#!/bin/bash
# scan_conns.sh
printf "Active Outbound Connections:\n"
sudo netstat -tunp | grep ESTABLISHED | grep -v 127.0.0.1
lsusb | grep -v -E 'KnownVendor1|KnownVendor2'
import re
def search_keywords(firmware_path, keywords):
with open(firmware_path, 'rb') as fw:
content = fw.read()
as_text = content.decode('latin1', errors='ignore')
hits = []
for keyword in keywords:
if re.search(keyword, as_text):
hits.append(keyword)
return hits
keywords = ['backdoor', 'debug', 'testmode', 'admin', 'root']
found = search_keywords('backup.bin', keywords)
if found:
print(f"Possible suspicious keywords found: {found}")
else:
print("No suspicious keywords found.")
התקינו Zeek והריצו:
zeek -r capture.pcap
cat conn.log | grep "external_IP_here"
משיודעים כי דלתות אחוריות בחומרה כמעט בלתי אפשרי לנקות באמצעות תוכנה, הגנה רב שכבתית והגנה פרואקטיבית על שרשרת האספקה נהפכים לקריטיים.
הערה: אתחול בטוח בעצמו מניח כי החומרה הבסיסית אינה כבר נפגעת.
מודולים אלו תוכננו במיוחד להגת לא מוגנים, אבל צריך לבטוח ביישום שלהם. אותו היגיון חל—אי אמון הוא ברירת המחדל עבור מערכות קריטיות.
עיני הציבור מוגברים כאשר תעשיות ממהרות להבטיח את שרשרות האספקה שלהן.
חוקרים מפתחים שיטות פורמליות (הוכחות מתמטיות) לאימות חומרה, אף על פי שקומפליקציות של שבבים בעולם הממשי מעכבים התקדמות.
ארגונים משקיעים בתכנון של מעבדים פתוחים, מאומתים פורמלית (למשל OpenTitan), כך שהעיצוב והביצוע פתוחים לבדיקה ציבורית.
ה-NIST SP 800-161 מפרט מסגרות להגנה על שרשראות האספקה מאיומים כאלה.
דלתות אחוריות בחומרה מציבות אתגר ייחודי ומסיבי באבטחת המידע. מוטמנות ברמות הבסיסיות של מכשיר מחשוב, הן קשות לגילוי—גם בשיטות פורנזיקה מתקדמות—וכמעט בלתי אפשרי להסרה באמצעים קונבנציונליים. ככל שאנו מסתמכים יותר על אלקטרוניקה מורכבת ומיוצרת בשרשראות אספקה שתעשיות רבות מתמודדות עימן ברחבי העולם, כך גם גובר החשיבות של אבטחת שרשרת האספקה, יוזמות חומרה/קושחה פתוחה, וניטור התנהגותי מתמשך.
נקודות עיקריות
רוצים עוד?
חפשו תיעוד של יצרנים, פורומים פתוחים כמו OSDev.org, וכלים כגון ChipWhisperer למחקר ביטחון חומרה.
מאמר זה מיועד לאופטימיזציה למנועי חיפוש. מילות מפתח ממוקדות: דלת אחורית בחומרה, אבטחת חומרה, תקיפת שרשרת אספקה, סוס חומרה, אבטחת קושחה, Intel Management Engine, ניתוח פלילי חומרתי, קושחה פתוחה, חומרה פתוחה, שרשרת אספקה מאובטחת, ניטור מכשירים, אבטחת מידע, גילוי דלתות אחוריות בחומרה.
אם מצאתם את התוכן הזה בעל ערך, תארו לעצמכם מה תוכלו להשיג עם תוכנית ההכשרה המקיפה והאליטיסטית שלנו בת 47 שבועות. הצטרפו ליותר מ-1,200 סטודנטים ששינו את הקריירה שלהם בעזרת טכניקות יחידה 8200.