[Update: Mfg. Statement] Populaire SoC-boards hebben een beveiligingsfout die niet kan worden opgelost, waardoor veel auto-, industriële en militaire componenten in gevaar komen

Onderzoekers die een routinematige beveiligingsaudit uitvoeren, hebben onlangs twee ernstige beveiligingsfouten ontdekt bij een populair merk van System on a Chip (SoC) -borden. Het beveiligingsprobleem ondermijnt veilige opstartmogelijkheden. Wat het meest zorgwekkend is, is het feit dat de SoC wordt gebruikt in verschillende kritieke componenten die in de reguliere industriesegmenten terechtkomen, zoals de auto-industrie, de luchtvaart, consumentenelektronica en zelfs industriële en militaire uitrusting. Als succesvol gecompromitteerd, zou het SoC-bord gemakkelijk kunnen dienen als een platform om geavanceerde en aanhoudende aanvallen uit te voeren op enkele van de meest kritieke infrastructuur.

Beveiligingsonderzoekers van Inverse Path, het hardwarebeveiligingsteam van F-Secure, ontdekten twee beveiligingsfouten bij een populair SoC-merk die hun veilige opstartmogelijkheden ondermijnen. Hoewel er een kan worden aangepakt, zijn beide kwetsbaarheden momenteel niet gepatcht. Het SoC-bord heeft alom de voorkeur vanwege zijn veelzijdigheid en robuuste hardware, maar de kwetsbaarheden kunnen een aantal ernstige beveiligingsbedreigingen vormen. Volgens het onderzoeksteam bestaan ​​de gebreken in de veilige opstartmodus ‘Alleen versleutelen’ van de SoC.

‘Inverse Path’ ontdekt twee beveiligingsfouten in de veilige opstartmodus van SoC:

Beveiligingsonderzoekers ontdekten de twee beveiligingsfouten in een populair merk SoC-boards vervaardigd door Xilinx. Het kwetsbare onderdeel is het merk Zynq UltraScale + van Xilinx, dat onder meer System-on-Chip (SoC), multiprocessorsysteem-op-chip (MPSoC) en radiofrequentiesysteem-op-chip (RFSoC) -producten omvat. Deze borden en componenten worden vaak gebruikt in auto-, luchtvaart-, consumentenelektronica, industriële en militaire componenten.

De beveiligingsproblemen naar verluidt de veilige opstartmogelijkheden van het SoC-bord ondermijnen. Onderzoekers voegden eraan toe dat van de twee beveiligingsfouten er één niet kan worden opgelost door een software-update. Met andere woorden, alleen "een nieuwe siliciumrevisie" van de verkoper zou de kwetsbaarheid moeten kunnen elimineren. Dit betekent dat alle SoC-boards van het merk Zynq UltraScale + van Xilinx kwetsbaar blijven, tenzij ze worden vervangen door nieuwe versies.

Onderzoekers hebben een technisch rapport op GitHub gepubliceerd, waarin de beveiligingslekken worden beschreven. Het rapport vermeldt dat de Xilinx Zynq UltraScale + Encrypt Only beveiligde opstartmodus de metagegevens van de opstartimage niet versleutelt. Dit maakt deze gegevens kwetsbaar voor kwaadwillende wijzigingen, merkte Adam Pilkey van F-Secure op. "Aanvallers [zijn] in staat [om] te knoeien met de opstartkop in de vroege stadia van de opstartprocedure, [en] kunnen de inhoud ervan wijzigen om willekeurige code uit te voeren, waarbij ze de beveiligingsmaatregelen die worden geboden door de modus 'alleen versleutelen' omzeilen,"

Van de twee beveiligingsfouten, was de eerste het parseren van de opstartheader door het opstart-ROM. De tweede kwetsbaarheid was het ontleden van partitiekopteksttabellen. Overigens kon de tweede kwetsbaarheid ook kwaadwillende aanvallers in staat stellen willekeurige code te injecteren, maar het was patchbaar. Het is zorgwekkend om op te merken dat geen van de patches, als ze ooit worden uitgebracht om de tweede kwetsbaarheid aan te pakken, overbodig zou zijn. Dit komt omdat aanvallers elke patch die het bedrijf zou uitbrengen altijd konden omzeilen door de eerste bug te misbruiken. Daarom heeft Xilinx ook geen softwarefix voor de tweede bug uitgebracht.

Aanvalsbereik beperkt, maar potentiële schade hoog, claimonderzoekers:

Zynq UltraScale + SoC's die zijn geconfigureerd om op te starten in de beveiligde opstartmodus "alleen versleutelen", worden beïnvloed door dit probleem. Met andere woorden, alleen deze SoC-kaarten worden beïnvloed en, nog belangrijker, deze moeten worden gemanipuleerd om in een bepaalde modus op te starten om kwetsbaar te zijn. Bij normaal gebruik zijn deze borden veilig. Desalniettemin wordt de veilige opstartmodus vaak gebruikt door leveranciers van apparatuur. Softwareleveranciers en -ontwikkelaars vertrouwen op deze modus om "authenticatie en vertrouwelijkheid af te dwingen van firmware en andere software-assets die zijn geladen in apparaten die Zynq UltraScale + SoC's gebruiken als hun interne computercomponent."

Het meest beperkende aspect van de kwetsbaarheid is dat aanvallers fysieke toegang moeten hebben tot de SoC-boards. Deze aanvallers zullen een Differential Power Analysis (DPA) -aanval moeten uitvoeren op de opstartvolgorde van de SoC-boards om kwaadaardige code in te voegen. Gezien de voorkeursimplementatiescenario's van de Zynq UltraScale + SoC-boards, is een fysieke aanval de enige mogelijkheid voor aanvallers. Overigens worden de meeste van deze boards over het algemeen ingezet in apparatuur die niet is aangesloten op een extern netwerk. Daarom is een aanval op afstand niet mogelijk.

Xilinx Updates Technische handleiding om gebruikers voor te lichten over preventie- en beschermingstechnieken:

Interessant is dat er nog een veilige opstartmodus is die de beveiligingsproblemen niet bevat. Naar aanleiding van de bevindingen van F-Secure bracht Xilinx een beveiligingsadvies uit dat leveranciers van apparatuur adviseert om de veilige opstartmodus Hardware Root of Trust (HWRoT) te gebruiken in plaats van de zwakkere Encryption Only. "De HWRoT-opstartmodus verifieert de opstart- en partitiekoppen," merkte Xilinx op.

Voor de systemen die beperkt zijn tot het gebruik van de kwetsbare Encrypt Only-opstartmodus, worden gebruikers gewaarschuwd om te blijven letten op DPA, niet-geverifieerde opstart- en partitiekopaanvalvectoren. Overigens zijn er nogal wat beveiligingstechnieken op systeemniveau die de blootstelling van de SoC-boards aan externe of kwaadwillende instanties die ter plaatse aanwezig kunnen zijn, kunnen beperken.

[Update]: Xilinx heeft contact opgenomen en bevestigd dat de niet-herstelbare fout voornamelijk bestaat omdat de klanten eisten dat de Encrypt Only-modus beschikbaar zou worden gemaakt in het merk Zynq UltraScale + SoC. Met andere woorden, het bedrijf merkte op dat de ontwerpfunctie die ze implementeerden op basis van de vraag van de klant, de SoC bloot zou stellen aan beveiligingsrisico's. Xilinx voegde eraan toe dat het klanten altijd heeft gewaarschuwd "ze moeten aanvullende beveiligingsfuncties op systeemniveau implementeren om problemen te voorkomen."