研究人員揭露大批Thunderclap安全漏洞，允許惡意周邊裝置竊取記憶體機密資訊

來自劍橋大學、萊斯大學與史丹佛國際研究院（SRI International）的研究人員，公布了一項有關Thunderbolt介面安全性的研究報告，藉由惡意的Thunderbolt周邊裝置開採IOMMU漏洞，宣稱幾秒內就可攻陷目標系統，允許駭客以最高權限執行任意程式，或是執行直接記憶體存取（Direct Memory Access，DMA）攻擊，以存取記憶體中所存放的密碼、銀行憑證或加密金鑰等，殃及Windows、macOS、 Linux與FreeBSD等平台。

研究人員打造了結合軟、硬體的Thunderclap平台，模擬合法周邊裝置的功能以開採作業系統「輸入/輸出記憶體管理單元」（input-output memory management units，IOMMU）保護機制的漏洞，取得DMA權限，再濫用該權限危害目標系統。而Thunderbolt 3則是促進相關攻擊的要件之一。

研究人員利用Thunderclap平台挖掘了眾多的安全漏洞，將它們統稱為Thunderclap漏洞，也已開發出多種概念性驗證程式。

Thunderclap漏洞奠基在以往被視為電腦系統可靠元件的網路卡或GPU，不需要作業系統的監督就能讀寫系統記憶體（DMA），為了保護它，作業系統配備了可用來限制周邊裝置存取記憶體的IOMMU機制，倘若駭客能夠繞過IOMMU，就能濫用DMA權限。在研究人員所發現的DMA攻擊漏洞中，有時候是系統根本沒啟用IOMMU或配置錯誤，有些漏洞就算是啟用了IOMMU也能被開採。

而由英特爾與蘋果共同開發的Thunderbolt主要用來連結電腦與周邊設備，最新的Thunderbolt 3可使用USB Type-C接孔，可同時支援充電與資料傳輸，除了蘋果裝置之外，也有不少採用其它平台的筆電支援Thunderbolt。

研究人員指出，諸如允許Thunderbolt 3使用USB-C傳輸埠等硬體互連機制的興起，結合了電力的輸入、影片的輸出，再加上周邊裝置的DMA也在同一個連結埠上，大大地提高了Thunderclap的實際攻擊能力。例如Thunderbolt允許惡意周邊熱插入正在執行的電腦並直接存取記憶體，讓臨時起意的DMA攻擊更可行，而電源、影片或DMA的混亂，也有助於駭客打造可掌控電腦的惡意充電站或投影機。

Thunderclap漏洞影響了蘋果從2011年迄今所生產的所有桌上型電腦及筆電，但12吋MacBook除外，以及2016年以來所生產的部份Windows與Linux桌機及筆電，只要支援Thunderbolt的電腦就會受到波及。

此外，惡意的PCI Express裝置，不管是網路卡或焊在主機板上的晶片，也能夠開採Thunderclap漏洞。

其實研究人員早在2016年就向業者揭露了相關漏洞，蘋果已解決特定網路卡問題，微軟是在去年釋出的Windows 10 1803中針對Thunderbolt裝置提供IOMMU支援，英特爾則替Linux kernel 5.0貢獻了修補程式，但這些業者的修補並未解決所有問題，目前最好的建議是避免插入來路不明的Thunderbolt裝置。

儘管如此，研究人員還是決定開源Thunderclap平台，以協助那些缺乏資源與技術的業者，評估自家產品面對DMA攻擊的承受力。