מילות מפתח: דלת אחורית בחומרה, הגנת סייבר, זיהוי דלת אחורית, חומרה בטוחה, דוגמאות ממשיות, NSA, שתלים בחומרה, התקפות שרשרת אספקה
בעולם המחובר של היום, איומי הגנת סייבר אינם מוגבלים עוד לפגיעות בתוכנה או הודעות פישינג. דלתות אחוריות בחומרה התגלו כאיום חמקני, חזק ומזיק עבור מדינות ולאומנים וגם עבוריות פשע סייבר. אבל מהי בעצם דלת אחורית בחומרה?
דלת אחורית בחומרה היא שיטה נסתרת ולא מורשית לעקוף אימות או אבטחה רגילים בחומרת מחשב — לעיתים קרובות מושתלת ברמת השבב הפיזי או בתוך מכשירים היקפיים. בניגוד לפגיעות בתוכנה, דלתות אחוריות בחומרה נמצאות ברכיבים הפיזיים האמיתיים של מערכת מחשב, מה שהופך אותם לעמידים במיוחד בפני זיהוי והסרה.
הגדרה רשמית:
“דלת אחורית בחומרה היא דלת אחורית במערכת מחשב המיושמת בחומרה שלה, במקום, או בנוסף, לתוכנה שלה.”
— ויקיפדיה: דלת אחורית בחומרה
דלתות אחוריות אלו מעלות את היכולת לספק גישה סמויה למערכות שנפגעו, מה שמסייע לתוקפים לגנוב נתונים, לשנות פעולות מערכת, או אפילו להפוך מכשירים לבלתי שמישים. פוסט בלוג זה יחקור את עומק הבעיה, מהקונספטים למתחילים ועד למתקדמים, ויציג דוגמאות ממשיות, טכניקות זיהוי, ודוגמאות קוד במיוחד ב-Bash ו-Python לבדיקה.
בניגוד לדלתות אחוריות בתוכנה, שעשויות להשתלב במערכות הפעלה, אפליקציות, או קושחה, דלתות אחוריות בחומרה הן משולבות פיזית בשבבים, מעבדים, או בקרי צדדייים בשלבים שונים בתהליך הייצור. הן יכולות להיות פשוטות כמו ממשקי ניפוי שגיאות לא דוקומנטריים, או מורכבות כמו מיקרובקרים מוחבאים המסוגלים לתקשורת ברשת עצמאית.
בדרך כלל דלתות אחוריות בחומרה נשארות רדומות ובלתי ניתנות לזיהוי במהלך הפעלה רגילה או אפילו במהלך בדיקות אבטחה מכוונות (ראו CS בקולומביה: השתקת דלתות אחוריות חומרה). הן יכולות להיות מופעלות באמצעות:
דלתות אחוריות בחומרה יכולות להופיע בצורות ורמות תחכום שונות. להלן הקטגוריות העיקריות:
שינויים זדוניים ברמת הסיליקון/עיצוב. קשה מאוד לזהותם ללא ניתוח שבבים חודרני (למשל, דסקופציה והדמיה).
דוגמאות כוללות כרטיסי רשת, מכשירי USB, או שבבים נוספים על לוח אם. הם עשויים ליירט, לשנות, או להוציא נתונים בחשאי.
קושחה היא הקוד השוכן בזיכרון קבוע בהתקני חומרה (BIOS/UEFI, בקרי מקלדת, כרטיסי רשת). קושחה עם דלתות אחוריות יכולה להישאר לאחר התקנה מחדש של מערכת הפעלה ואפילו מולחלפים רבים של חומרה.
דוגמאות הן פורטי JTAG, UART או דלתות אחוריות לא דוקומנטריות של BIOS/קושחה.
ערוצים לא מכוונים שנוצרים על ידי שינויים זדוניים לדלף נתונים (למשל, שינוי בצריכת החשמל או בזמנים להצפנת מידע).
דלתות אחוריות בחומרה אינן תיאורטיות בלבד; מספר מקרים מוכרים ותוצאות מחקר מדגימים את קיומן ואת הסיכון שלהן. הנה מספר דוגמאות מעניינות:
ה-קטלוג ANT של ה-NSA חשף סדרת שתלים בחומרה ודלתות אחוריות שפותחה על ידי הסוכנות לביטחון לאומי של ארצות הברית (NSA) למעקב אחר מטרות ברחבי העולם. אלו כללו:
הדיווחים של בלומברג טענו כי שרתים של סופרמיקרו ששימשו חברות אמריקניות גדולות עברו שינויים בשרשרת האספקה כדי לכלול שבבים זעירים המאפשרים ריגול. למרות שהדבר ב
וסופו של דבר לוט בערפל, זה הוביל את תשומת הלב לבטחון שרשרת האספקה העולמית.
סטוקסנט ניצל גם חולשות בתוכנה וגם חולשות חומרה/קושחה בבקרי לוגיקה מתוכנתים (PLCs) שהיו בשימוש בתוכנית הגרעין של איראן. חלק מהצלחתו נבעה מהיכולת לפגוע בקושחה ברמה מוטמעת עמוקה.
מעבדות אקדמאיות הדגימו טרויאנים בחומרה היכולים להסתתר מנתיבי בדיקה סטנדרטיים ולהפעיל תחת תרחישים נדירים מאוד (נייר CS קולומביה).
סוכנויות המודיעין רודפות דלתות אחוריות בחומרה כדי להקל על ריגול בקנה מידה גדול או ממוקד. רכיב חומרה פגוע יחיד יכול לחשוף רשתות שלמות ללא צורך במלחים בעלי תחושה תובענית.
פושעי סייבר יכולים להשתמש במכשירים היקפיים זדוניים (למשל, מקלות USB עם תקלות, שינוי כרטיסי רשת) לגניבת הנתונים, כופר, או גישה בלתי מורשית מתמדת.
הרכבת רכיבים משרשרת אספקה גלובלית מציגה סיכון בכל שלב — מתכנון וייצור השבבים ועד להרכבה הסופית ומשלוח.
דלתות אחוריות בחומרה יכולות לספק "כפתורי מוות" או פקודות הרס לשבש תשתית קריטית.
זיהוי דלתות אחוריות בחומרה מהווה אתגר משמעותי, כיוון שהתקפות ברמת החומרה מתוכננות להתחמק מפעולות רגילות וכן מסריקות אבטחה. להלן גישות נוכחיות, החל מחקירות ידניות ועד לסריקות אוטומטיות.
למרות שמניפולציה יסודית ברמת החומרה לא יכולה להיות מזוהה בקלות רק על ידי תוכנה, עדיין יש גישות שיכולות לעזור לזהות התקני חשודים, קושחה, או חומרה בלתי מצופה.
רשימת הכל ההתקנים בחומרה, התנה אותן כנגד רשימה צפויה.
השוות בקבצי קושחה עם האשות שסופקו על ידי הספק.
גילוי התנהגויות חריגות באמצעות ניתוח ערוצים צדדיים (מצבי כוח של המעבד, תזמונים).
ניטור פעילות רשת או מערכת לאיתור פעילות המכילה מאפיינים של דלת אחורית (חיבורים בלתי צפויים, שינויים במניית התקנים).
בעוד שתוכנה לא יכולה להבטיח גילוי דלת אחורית בחומרה, דוגמאות הקוד הבאות מספקות צעדים ראשוניים לניתוח מעשי. הם למטרות חינוכיות ויש להשתמש בהם למודעות יותר מאשר לביקורות מקיפות.
אתה יכול להשתמש ב-lspci בלינוקס כדי למנות חומרה מחוברת PCI (נפוץ לכרטיסי רשת, כרטיסי גרפיקה וכו').
# רשימת כל התקני PCI
lspci -vvv | tee lspci_output.txt
# חפש יצרנים או התקנים לא מוכרים עם Bash
grep -E 'Unknown|unassigned|unclassified' lspci_output.txt
תור היצרן שלו.
# רשימת התקני USB
lsusb
# יותר מפורט
lsusb -v
# שמירת הפלט לבדיקה מאוחרת יותר
lsusb -v > lsusb_verbose.txt
לעיבוד הפלט ולחיפוש התקנים שלא תואמים את רשימתך הידועה:
# דוגמה: מצא מזהי יצרן בלתי צפויים (שנה 1234:5678 ל-PIDS המוכניס שלך)
grep -vE '1234:5678|8765:4321' lsusb_verbose.txt | grep idVendor
נניח שיש לך כלי מערכת או גישה ישירה לקרוא קושחה (למשל, שימוש ב-flashrom להצלת ה-BIOS):
# תשמור קושחת BIOS/UEFI
sudo flashrom -p internal -r bios_backup.bin
# חישוב ההאש
sha256sum bios_backup.bin
בדוק את ההאש הזה מול גרסת הספק שלך.
השתמש בספריית pyudev למשימות מלאי חומרה מתקדמות.
import pyudev
context = pyudev.Context()
for device in context.list_devices(subsystem='pci'):
print(f"Device: {device.sys_name}")
print(f" Vendor: {device.get('ID_VENDOR_ID')}")
print(f" Model: {device.get('ID_MODEL_ID')}")
print(f" Sys Path: {device.sys_path}\n")
זה מאפשר כתיבת סקריפטים לבדיקות נגד התקנים מאושרים, ושליחת התראות אם נמצאת חומרה בלתי צפויה.
בדוק האזנה לרשתות בלתי צפויות עם psutil של Python:
import psutil
for conn in psutil.net_connections():
if conn.status == 'LISTEN':
print(f"Port {conn.laddr.port} is listening by PID {conn.pid} (Process: {psutil.Process(conn.pid).name()})")
שתלים חומרה סמויים עשויים לחשוף שירותי רשת שאינם סטנדרטיים או לא מתועדים.
אסטרטגיות צמצום אפקטיביות מתמקדות בזיהוי, בתהליך הרכישה ובשליטה תפעולית.
צוותי Red Team מודעים יותר ויותר לשטחי התקפה בחומרה. בעת ביצוע בדיקות חד
ירה פיזיות או טבלאיות, הם בודקים מערכות למציאת חומרה לא צפויה ומכשירים היקפיים, ולעיתים ממליצים:
אם חשודים בפגיעה בחומרה:
דלתות אחוריות בחומרה הן מציאות של איומי סייבר מודרניים, המראות שינויים הן בתחכום והן בהתמדה של התוקפים. בניגוד לפגיעות בתוכנה, דלתות אחוריות בחומרה הן חמקניות יותר, מתמידות יותר, ולעיתים קרובות קשות יותר להסרה או זיהוי, ומצריכות גישה גבוהה יותר הן במודעות והן במצב הגנה.
בעוד גילוי והסרה מקיפה ברמת הצרכן נותר קשה, ארגונים ואנשים יחידים צריכים להפעיל הגנות שכבתיות:
מחקר מתמשך, יוזמות קוד פתוח ושיתוף פעולה מוגבר בין ממשלות לתעשיית הטכנולוגיה חיוניים להתמודדות עם סיכונים אלו. בינתיים, על אנשי האבטחה הערניים לשמור על עין פקוחה על סימנים משנתנים של פגיעות בחומרה בשכבות הכי עמוקות.
להעמקה נוספת ועדכונים על הבטחת חומרה, עקבו אחרי מקורות רשמיים מ-NIST, CERT, ויועצים ספציפיים לספקים.
אם מצאתם את התוכן הזה בעל ערך, תארו לעצמכם מה תוכלו להשיג עם תוכנית ההכשרה המקיפה והאליטיסטית שלנו בת 47 שבועות. הצטרפו ליותר מ-1,200 סטודנטים ששינו את הקריירה שלהם בעזרת טכניקות יחידה 8200.