Phát hiện backdoor chưa được công bố trong chip Bluetooth được dùng trên hàng tỷ thiết bị

Phát hiện backdoor trong chip Bluetooth

• Backdoor trong chip ESP32: Một "backdoor" không được tài liệu hóa đã được phát hiện trong vi điều khiển ESP32 của nhà sản xuất Trung Quốc Espressif. Tính đến năm 2023, con chip này được sử dụng trong hơn 1 tỷ thiết bị. Backdoor này có thể giả mạo các thiết bị đáng tin cậy, cho phép truy cập dữ liệu trái phép, di chuyển sang các thiết bị khác trong mạng hoặc thiết lập khả năng bám trụ lâu dài.

• Bối cảnh phát hiện: Hai nhà nghiên cứu người Tây Ban Nha Miguel Tarascó Acuña và Antonio Vázquez Blanco đã phát hiện backdoor này và trình bày tại RootedCON ở Madrid. Backdoor có thể khiến các thiết bị nhạy cảm như điện thoại di động, máy tính, khóa thông minh và thiết bị y tế bị lây nhiễm vĩnh viễn.

Phát hiện backdoor trên ESP32

• Nghiên cứu bảo mật Bluetooth: Mức độ quan tâm đến nghiên cứu bảo mật Bluetooth đã giảm, nhưng không phải vì giao thức hay cách triển khai đã an toàn hơn. Phần lớn các cuộc tấn công либо không có công cụ hoạt động được, либо dùng các công cụ cũ không tương thích với phần cứng phổ thông và cũng không tương thích với các hệ thống hiện đại.

• Phát triển công cụ mới: Tarlogic đã phát triển một trình điều khiển Bluetooth USB mới viết bằng C, độc lập với phần cứng và đa nền tảng, cho phép truy cập trực tiếp vào phần cứng mà không phụ thuộc vào API đặc thù của hệ điều hành. Qua đó, họ phát hiện các lệnh ẩn dành riêng cho nhà cung cấp (Opcode 0x3F) trong firmware Bluetooth của ESP32.

• Các lệnh được phát hiện: Tổng cộng đã phát hiện 29 lệnh không được tài liệu hóa, có thể được dùng để thao tác bộ nhớ (đọc/ghi RAM và Flash), giả mạo địa chỉ MAC (giả mạo thiết bị), và chèn gói LMP/LLCP.

• Mức độ rủi ro: Các lệnh này có thể dẫn đến những triển khai độc hại ở cấp OEM và các cuộc tấn công chuỗi cung ứng. Đặc biệt, kẻ tấn công có thể khai thác backdoor từ xa nếu đã có quyền truy cập root, cài firmware độc hại hoặc đẩy bản cập nhật độc hại.

• Rủi ro của truy cập vật lý: Nhìn chung, việc có thể truy cập vật lý vào giao diện USB hoặc UART của thiết bị là một kịch bản tấn công nguy hiểm và thực tế hơn.

• Giải thích của các nhà nghiên cứu: Các nhà nghiên cứu cho biết có thể kiểm soát hoàn toàn chip ESP32 và giành được khả năng bám trụ trên chip thông qua các lệnh sửa đổi RAM và Flash, đồng thời có khả năng lan sang các thiết bị khác.

• Phản hồi của Espressif: BleepingComputer đã đề nghị Espressif đưa ra quan điểm về kết quả nghiên cứu này nhưng chưa nhận được phản hồi ngay lập tức.

[GN⁺]

Ý kiến Hacker News

• Tiêu đề có thể gây hiểu lầm. "Backdoor" dường như cho phép nhìn trộm và thao tác bộ nhớ cùng các chức năng mức thấp khác của chính bộ điều hợp Bluetooth USB của mình. Nó không thể được sử dụng qua sóng vô tuyến

  • Các lệnh gỡ lỗi không được tài liệu hóa là chuyện thường gặp. Tôi từng phát hiện các khả năng tương tự trong bộ điều hợp WiFi và bộ thu GPS. Chúng được tìm ra bằng cách đảo ngược kỹ thuật firmware của chip hoặc driver của nhà cung cấp. Tự thân điều này không phải vấn đề lớn. Việc cho phép firmware không có chữ ký cũng dễ bị tổn hại theo cách tương tự
  • Nếu tính năng này có thể được dùng từ bên ngoài máy chủ, thì đó sẽ là một câu chuyện hoàn toàn khác

• Các nhà nghiên cứu đã phát hiện một tính năng phần cứng không được tài liệu hóa cho phép truy cập mức thấp vào ngăn xếp WiFi của ESP32

  • Gọi đây là "backdoor" chỉ đơn thuần là câu view

• Dòng tiêu đề này là sai. Backdoor trong chip Bluetooth sẽ cho phép kẻ tấn công qua sóng vô tuyến thực thi mã trên chip. Bài này lại nói rằng driver của thiết bị được kết nối có thể thực thi mã trên chip. Điều này không vi phạm ranh giới bảo mật

  • Trong một hệ sinh thái báo chí vận hành tốt, điều này sẽ cần một lời đính chính và sẽ gây tổn hại lớn đến uy tín của cơ quan truyền thông đã viết nó. Nhưng điều đó sẽ không xảy ra

• Tôi thấy bối rối không rõ có phải chỉ là một vài lệnh không được tài liệu hóa trong ngăn xếp Bluetooth hay không. Nếu thứ này chỉ có thể truy cập từ mã đã chạy trên thiết bị, tôi sẽ không gọi nó là backdoor

• Về lý thuyết, phải có quyền truy cập mức thấp vào chính radio BT được kết nối. Điều này là điều có thể dự đoán

  • Tôi thích việc thiết bị có các giao diện mức thấp như vậy. Vấn đề có thể không nằm ở sự tồn tại của chúng mà là ở việc thiếu tài liệu
  • Tôi đã dùng các lệnh đọc/ghi bộ nhớ qua USB trên radio Qualcomm để mở khóa thiết bị bị khóa và giành quyền sở hữu nó. Điều này có thể không tốt vì đó là đọc/ghi OOB hoàn chỉnh, nhưng nếu chỉ có thể truy cập từ mã đã được nạp vào flash thì sẽ đỡ hơn

• Nghiên cứu tốt nhưng tiêu đề tệ. Là một vector tấn công, nó đòi hỏi truy cập vật lý và trong gần như mọi trường hợp đã có thể thực hiện bằng cách khác. "Các lệnh không được tài liệu hóa được tìm thấy trong chip Bluetooth phổ biến" sẽ là tiêu đề tốt hơn

• TL;DR: Đảo ngược kỹ thuật firmware và phát hiện các lệnh HCI như đọc/ghi bộ nhớ, truyền gói và đặt địa chỉ MAC

  • Thực ra không phải backdoor. Tôi không rõ chính họ có gọi nó là backdoor không (bài trình bày bằng tiếng Tây Ban Nha), hay các nhà báo gọi vậy để câu click
  • Để gửi lệnh HCI tới thiết bị, cần có quyền truy cập tùy ý. Nghĩa là bạn đã kiểm soát thiết bị rồi. Đây không phải thứ bị khai thác từ xa qua liên kết vô tuyến. Mọi khai thác đều đã đòi hỏi quyền kiểm soát hoàn toàn thiết bị, và ở thời điểm đó việc đổi địa chỉ MAC hay gửi gói không phải điều đáng ngạc nhiên
  • Nghiên cứu thú vị, nhưng thật đáng thất vọng khi thấy nó được đóng gói như một "backdoor". Tôi không biết ai chịu trách nhiệm cho cách diễn đạt này. Có lẽ là các nhà báo

• Mọi người đều thấy ổn với việc cài các driver binary blob mờ ám chạy trong không gian kernel lên máy bàn và laptop, và thậm chí còn không có quyền root trên chiếc điện thoại bị đám mây kiểm soát của mình, nhưng các lệnh ESP32 mức thấp không được tài liệu hóa chỉ có thể dùng khi thiết bị đã bị xâm phạm lại trở thành vector đe dọa đáng lên tin

  • Tôi tự hỏi liệu có điều gì đó đã bị sai trong quá trình dịch hay không. Trước đây tôi sẽ thấy chuyện này rất ngầu và tìm cách biến nó thành SDR