申し訳ありません、デイブ、私は恐れています... 申し訳ありません、私の間違いです、私はそれを簡単に行うことができます
下にオーディオプレーヤーがありませんか？ 聞く 直接に Soundcloudで。
ダグ・アーモスとポール・ダックリンと。 イントロとアウトロの音楽 エディスマッジ.
あなたは私たちに聞くことができます Soundcloud, Apple Podcasts, Googleポッドキャスト, Spotifyは, 縫い合わせます そして、その良いポッドキャストが見つかるところならどこでも。 または単にドロップします RSSフィードのURL お気に入りのポッドキャッチャーに。
トランスクリプトを読む
DOUG 接続されたガレージ ドア、およびマザーボードの不正行為に多数のパッチを適用します。
NakedSecurityポッドキャストでそれ以上のものを。
【ミュージックモデム】
皆さん、ポッドキャストへようこそ。
私は Doug Aamoth です。 彼はポール・ダックリンです。
ポール、どうしますか？
アヒル Doug さん、あなたが「コネクテッド ガレージ ドア」と言った意味をまだ理解しようとしています。
これはまったく新しいスケールでの接続だからです。
DOUG そうそう！
何が問題になる可能性がありますか？
それについて説明します…
今週の Tech History セグメントからショーを開始したいと思います。
多くのオプションがあります…今日はホイールを回転させます。
今週何があった？
1961年に初めて宇宙に行ったユーリ・ガガーリン。 Ronald Wayne は Apple を去り、800 年に自分の株を 1976 ドルで売却しました。 1959 年の COBOL の発芽。 1981年の最初のスペースシャトル打ち上げ。 13 年のアポロ 1970 号救助ミッション。 メタリカは 2000 年に Napster を訴えた。 そして 1977 年に開催された最初の West Coast Computer Faire です。
ここでホイールを回して、どこに着地するか見てみましょう。
【FX：運命の輪】
アヒル [歓声] コボル、コボル、コボル！
[FX: ホイールが遅くなって止まる]
DOUG そして、COBOLを手に入れました！
おめでとう、ポール – よくやった。
今週、1959 年に会議が開かれ、その会議には非常に重要で影響力のあるコンピューティングの先駆者たちがいて、一般的なビジネスフレンドリーなプログラミング言語の作成について話し合っていました。
唯一のグレース・ホッパーは、米国国防総省がそのような言語に資金を提供することを提案しました。
そして幸運なことに、国防総省のコンピューティング ディレクターが同じ会議に出席し、このアイデアを気に入り、資金提供に同意しました。
そして、COBOL が誕生しました、ポール。
アヒル はい！
COBOL: 一般的なビジネス指向言語。
それはCODASYLと呼ばれるものから生まれました。
[笑い] それはすべての頭字語を開始/終了する頭字語です: データ システム言語に関する会議/委員会。
しかし、それはもちろん、ブラウザの JavaScript を含め、何度か完全に循環した興味深いアイデアでした。
FORTRAN (FORMula TRANslation) のような言語は、当時の科学計算で非常に人気がありました。
しかし、すべての企業、すべてのコンパイラ、すべてのプログラマーの小さなグループは、他の誰よりも優れた独自のバージョンの FORTRAN を持っていました。
COBOL のアイデアは、「コードを記述できれば、どんなシステムでも準拠したコンパイラに渡すことができ、コードはシステムの制限内で同じように動作するだろう」というものでした。 ?」
つまり、それは、名前が示すとおり、一般的なビジネス指向の言語を提供する方法でした。
DOUG まさに！
名だたる！
よし、私たちは長い道のりを歩んできました (皆さん、お疲れ様でした)。 パッチ火曜日.
ゼロデイがあります。 興味深いバグが 90 つあります。 約 XNUMX のバグがあります。
しかし、良いことに取り掛かりましょう、ポール…
火曜日のパッチ: Microsoft はゼロデイと、セキュア ブートからセキュアを奪う XNUMX つの興味深いバグを修正します
アヒル はい、CVE-2023-28252 であるゼロデイを調べてみましょう。
それは、詐欺師が明らかに悪用する方法をすでに知っているものだからです。
これは、以前にバグが確認された Windows の一部、つまり Common Log File System ドライバーのバグです。
これは、デバイス上の任意のサービスまたはアプリが (おそらく) 制御された安全な方法でシステムにログインできるようにするシステム ドライバーです。
ログを書きますが、失われることはありません。 誰もが独自の方法を発明するわけではありません。 適切にタイムスタンプが付けられます。 負荷が高くても記録されます。 等
残念ながら、これらのログを処理するドライバーは… 基本的に、 SYSTEM アカウント。
そのため、バグがある場合、発生するはずのない方法で何かをログに記録すると、通常、特権の昇格 (EoP) と呼ばれるものが発生します。
ほんの少し前までは GUEST ユーザーが突然 SYSTEM これにより、基本的にシステムを完全に制御できます。
他のドライバーをロードおよびアンロードできます。 ほとんどすべてのファイルにアクセスできます。 彼らは他のプログラムをスパイできます。 プロセスを開始および停止できます。 等々。
それが0日です。
評価されただけ 重要 マイクロソフトによる… これはリモートでコードを実行するものではないため、そもそもシステムをハッキングするために詐欺師が使用することはできないためだと思います。
しかし、彼らが侵入すると、理論上 (そして実際には、今日が O-day であることを考えると)、このバグは、既に侵入している詐欺師によって使用され、コンピューターの実質的な超能力を取得する可能性があります。
DOUG では、セキュア ブートからセキュアを外すと、それはどうなりますか、ポール?
ただ…
アヒル 「ブート」だと思いますか？
はい、これら XNUMX つのバグに興味をそそられ、Naked Security の記事で取り上げたいと思いました。 (すべてのパッチに関するすべてを知りたい場合は、 news.sophos.com これらのバグに関する SophosLabs のレポートをお読みください。)
数字は読み上げませんが、記事の中にあります…どちらも次の言葉で見出しが付けられています。 Windows ブート マネージャーのセキュリティ機能バイパスの脆弱性.
そして、マイクロソフトがそれをどのように説明しているかを読みます。
これらの脆弱性の悪用に成功した攻撃者は、セキュア ブートをバイパスして不正なコードを実行する可能性があります。
成功するには、攻撃者は物理的なアクセスまたは管理者権限のいずれかを必要とします…
…最初に話したバグを乗り越えることができるのではないかと思います。 [笑う]
DOUG まさに、そう思いました！
アヒル しかし、「皆さん、心配しないでください。彼らはあなたのコンピュータに物理的にアクセスする必要があります」というのは、私の意見では、ちょっとしたニシンのようなものです、ダグ。
セキュア ブートの全体的な考え方は、コンピューターに物理的にアクセスする人からも保護することを目的としているため、いわゆる「邪悪なクリーナー」攻撃などを阻止するためです。
…ホテルの部屋にラップトップを 20 分間置き、朝食を食べているところです。
清掃員は毎日ホテルの部屋に入ります。 彼らはそこにいるはずです。
あなたのラップトップはそこにあります。 閉まっています。 「パスワードがわからないから、ログインできない」と思うでしょう。
しかし、部屋の掃除をしている間に、ふたを開けて USB キーを差し込んで電源を入れることができたら…
…すべて自動化されているため、実際にハッキングを行うのに時間を費やす必要はありません。
ラップトップを閉じます。 USB キーを取り外します。
彼らが何らかのマルウェアを埋め込んだ場合はどうなりますか?
それは専門用語で ブートキット.
ルートキットではなく、それよりもさらに低い: BOOT キットです。
ファームウェアが実行されてから Windows 自体が実際に起動するまでの間に、実際にコンピューターに影響を与えるもの。
言い換えれば、Windows 自体が次に登場するセキュリティの基盤となっている基盤を完全に覆してしまうのです。
たとえば、BitLocker のキーストロークをログに記録していたので、次にコンピューター全体のロックを解除するためのパスワードを知っていたとしたらどうでしょうか。
セキュア ブートの全体的な考え方は、次のように述べています。邪悪なクリーナーや善意の IT マネージャーは、実行されません。
Microsoft はこれらのバグを評価するだけですが、 重要 これらは従来のリモート コード実行エクスプロイトではないため、私が日常的に Windows を運転しているユーザーであれば、パッチを適用するだろうと思います。
DOUG だから、今すぐパッチを当ててください！
これらの特定のアイテムについては、 裸のセキュリティ、およびより広範な記事 ソフォスニュース これは、パッチが適用された合計 97 個の CVE の詳細を示しています。
そして、パッチトレインにとどまりましょう。 アップルについて話す、いくつかのゼロデイを含む、ポール。
Apple は、スパイウェア スタイルのゼロデイ エクスプロイトに対する緊急パッチを発行します。今すぐ更新してください。
アヒル これらは実際、Apple がリリースしたこの特定のアップデートでパッチが適用された唯一のゼロデイでした。
いつものように、Apple は何をするつもりなのかを前もって言わず、何の警告も与えず、誰がいつ何を手に入れるかを言いません…
…イースターの週末の初めに、WebKit のゼロデイをカバーするこれらのパッチを入手しました。
つまり、ブービー トラップされた Web サイトを見るだけで、リモートでコードが実行される可能性があり、*そして* カーネルにバグがあり、アプリを pwn すると、カーネルを pwn して、本質的に乗っ取ることができるということです。デバイス全体。
基本的には、「ねえ、私の素敵なウェブサイトを閲覧してください。 まあ。 今、私はあなたの電話のいたるところにスパイウェアを持っています. そして、私はあなたのブラウザを乗っ取っただけでなく、すべてを乗っ取ったのです。」
そして真の Apple 流に…最初は、macOS 13 Ventura (macOS の最新バージョン) と iOS および iPad OS 16 の両方のバグに対するアップデートがありました。
macOS の XNUMX つの古いバージョンには部分的な修正 (WebKit の修正) がありましたが、カーネル レベルの脆弱性に対するパッチはありませんでした。
そして、iOS と iPadOS 15 には何もありませんでした。
これは、古いバージョンの macOS にはカーネル バグがないということですか?
カーネルのバグはあるが、まだパッチが適用されていないということですか?
iOS 15 は免疫がありますか、それともパッチが必要ですが、彼らは何も言っていませんか?
そして、見よ、イースターの週末の余波で、突然[笑う] さらにXNUMXつのアップデート 欠けている部分をすべて埋めたものが出てきました。
Apple のゼロデイ スパイウェア パッチが拡張され、古い Mac、iPhone、および iPad が対象になりました
実際、サポートされているすべての iOS および iPadOS (バージョン 15 および 16)、およびサポートされているすべての macOS (バージョン 11、12、および 13) に、これらのバグの両方が含まれていることが判明しました。
そして今、それらはすべて、それらの両方に対するパッチを持っています.
このバグは、アムネスティ インターナショナル セキュリティ ラボと Google 脅威対応チームの協力によって発見されたようです…
…まあ、実生活でスパイウェアに使用されたことはおそらく推測できます。
したがって、自分がその種の攻撃者の危険にさらされる可能性が高いとは思わない場合でも、これらのバグが存在するだけでなく、実際にはかなりうまく機能しているように見えることを意味します。 .
そのため、最近 Mac または iDevice のアップデート チェックを行っていない場合は、行ってください。
万が一見逃した場合に備えて。
DOUG OK！
ご存知のように、コネクテッド ガレージ ドア企業は、サイバーセキュリティを念頭に置いてこれらのガレージ ドアをコーディングしています。
だからショックだよ このような何か 起こった、ポール…
アヒル はい。
この場合、Doug (ブランド名は Nexx と呼んだほうがよいと思います) は、特別な形式のサイバーセキュリティを導入したようです。
ゼロ要素認証、ダグ!
これは、公開することを意図していないものを取得する場所です (メール アドレスや Twitter ハンドルなど、人々に知ってもらいたい場合とは異なります) が、それは実際には秘密ではありません。
そのため、例としてワイヤレス カードの MAC アドレスが考えられます。
この場合、彼らはそれぞれのデバイスにおそらく一意のデバイス ID を与えていました…
…そして、デバイスの ID が何であるかを知っていれば、それは基本的にユーザー名、パスワード、およびログイン コードをすべて一度に数えることになります。
DOUG 【うめき声】便利ですね…
アヒル さらに便利なことに、Doug: すべてのデバイスのファームウェアにハード コードされたパスワードがあります。
DOUG ああ、行きます！ [笑う]
アヒル [笑い] その魔法のパスワードが何であるかを誰かが知ると、これらのデバイスが世界中で使用しているクラウド メッセージング システムにログインできるようになります。
これを行った研究者が発見したことは、彼がこれらのデバイスの XNUMX つを持っていたためです…
…彼は、自分のトラフィックを監視しているときに、おそらくそれが表示されることを期待しているときに、デバイス ID を含む他のすべてのトラフィックも取得していることに気付きました。
DOUG [より大きなうめき声] なんてこった！
アヒル デバイス ID だけでは不十分な場合に備えて、JSON データにはメール アドレス、イニシャル、苗字も含まれています。
念のため、その人をストーキングしてその人が住んでいた場所に戻す方法をまだ知らなかった場合に備えて。
だから、彼らの家に行ってガレージを開けて、彼らのものを盗むことができます. （ちなみに、これは自宅の警報システムにも適用されているようで、ガレージのドアを開ける前に警報をオフにすることができます。）
または、あなたが十分に悪意を持っていれば、人々が住んでいる場所のガレージのドアを無作為に開けることができます。 ダグ。
DOUG [IRONIC] この研究者ができることは、少なくとも XNUMX か月以上前に会社に警告し、これを修正する時間を与えることでした。
アヒル はい、それは彼ができた最低限のことです。
それはまさに彼がしたことです。
そして、それが最終的に、数か月後（彼が最初に彼らに連絡したのはXNUMX月だったと思いますが、彼はこれについて彼らを動かすことができませんでした）…
…最終的に彼は、「私はこれを公開するつもりです」と言いました。
彼をバックアップするために、米国の CISA [サイバーセキュリティおよびインフラストラクチャ セキュリティ機関] は実際に、この発言についてある種の APB を発表しました。あなたに何をアドバイスすべきか知っています。」
ええと、私のアドバイスは… 古き良き物理キーの使用を検討してください。 アプリを使用しないでください。
公平を期すために、研究者はバグの性質を説明しましたが、私がここで説明したように、実際には概念実証を出していません.
彼が誰にとっても簡単にできるようにしたわけではありません。
しかし、彼は、この製品を持っている人々に対して、おそらく彼らもベンダーに頼る必要があることを知るように注意する義務があると感じていたと思います.
DOUG よし、これは典型的な「そこから目を離さない」タイプの話だ。
そして、記事の最後にある重要なリマインダー…古いジョークにあるように、「IoT の S はセキュリティを表す」と書いていますが、これは非常に当てはまります。
アヒル はい、S を IoT に入れる時が来ましたね。
IoT デバイスについて、このような話を何回するかわかりません…毎回、これが最後であることを願っていますね。
ハードコードされたパスワード。
各リクエストには暗号化の一意性がないため、リプレイ攻撃が可能です。
他人のデータを漏らす。
要求と応答に不要なものを含める…デバイス ID を取得していて、デバイスを識別しようとしている場合は、ドアを開けたいたびに所有者のメール アドレスをデバイスに伝える必要はありません。
必要ないだけで、出さなければ漏れません！
[皮肉] でもそれ以外は、ダグ、私はそれについて強く感じていません。
DOUG [笑い] OK、とても良い。
その日の最後の話ですが、確かに重要ではありません。
マザーボード メーカーの MSI には、証明書ベースの証明書がいくつかあります。 ファームウェアの頭痛の種 最近。
アヒル はい、これはかなりひどい話です。
伝えられるところでは、Money Message という名前のランサムウェアの乗組員が、マザーボード メーカーである MSI に侵入しました。 (非常に微調整可能なマザーボードであるため、ゲーマーに非常に人気があります。)
犯罪者は、お金を手に入れない限り、侵害しようとしている膨大な量のデータを持っていると主張しています。
彼らはリーク サイトで実際のデータを取得していません (少なくとも、締め切りが切れる直前だった昨夜私が見たときは取得していませんでした)、彼らは MSI ソース コードを持っていると主張しています。
彼らは、MSIがBIOSまたはファームウェアファイルを開発するために使用するフレームワークを持っていると主張しています。つまり、彼らは、適切なファームウェアを構築するために必要な内部関係者の知識をすでに持っていることを暗示しています.フォーマット。
そして彼らは、「また、私たちは秘密鍵を持っています」と言います。
彼らは私たちに、これらの秘密鍵があれば、彼らが構築した不正なファームウェアに署名できると推測するように勧めています。
彼らは違反を認めました。 彼らはそれを規制当局に開示しました。 彼らはそれを法執行機関に開示しました。 そして、それは彼らが言ったことのほとんどすべてです。
彼らが*行ったこと*は、とにかく従うことを強くお勧めするアドバイスを提供することです。つまり、顧客に次のように伝えます。
ファームウェアまたは BIOS のアップデートは MSI の公式 Web サイトからのみ入手し、公式 Web サイト以外のソースからファイルを使用しないでください。
とにかく、ゲレンデ外に出て、不正なファームウェア BLOB の可能性があるものを入手しないことを願っています…一部のコメンターが言っているように、「人々はそれを行うとどう思いますか?」
しかし、以前は、MSI のサイトから証明書を取得できなかった場合でも、必要に応じて自分でデジタル証明書を検証することに頼ることができました。
ですから、この空間を観察する際に普段何をしているかを言うべきだと思います、ダグ…
DOUG それではこちらも注目していきましょう！
そして、MSI のストーリーについて読者の XNUMX 人から質問が寄せられました (私自身、うまく言えませんでした)。Peter は次のように尋ねています。
MSI は、ファイルの署名に使用された証明書を取り消すことができませんでしたか?
侵害されたファイルを誰かがダウンロードしたとしても、証明書のチェックに失敗するのでしょうか?
それとも、そのようには機能しませんか？
アヒル まあ、*理論*ではそのように機能します、ダグ。
しかし、現在非推奨の証明書で署名されたファームウェアを既に持っている人を盲目的に拒否し始めると、本質的に、「車のキーをロックする」のと同じくらい良い人がいるというリスクを冒すことになります。つまり。
たとえば、「そうです！ 明日以降、世界中のすべてのコンピューターで、侵害されたこのキーで署名された MSI ファームウェアは機能しなくなります (詐欺師が真実を語っている場合)。 新しいものを入手する必要があります。」
さて、コンピュータを起動してオンラインにして、新しいコンピュータを取得するにはどうすればよいでしょうか? [笑う]
DOUG [笑い] ちょっとした問題！
アヒル 鶏が先か卵が先かという問題があります。
これはファームウェアだけに当てはまるわけではありません… 信頼できるが、現在は信頼できなくなった証明書で署名されたファイルへのすべてのユーザーのアクセスをあまりにも迅速にブロックすると、潜在的に害を及ぼす可能性があります。
オーバーラップ期間を少し残す必要があります。
DOUG 申し分なく、優れた質問と優れた回答です。
ピーター、送ってくれてどうもありがとう。
投稿したい興味深いストーリー、コメント、質問がある場合は、ポッドキャストで読んでください。
ヒント@sophos.comに電子メールを送信するか、当社の記事のいずれかにコメントするか、またはソーシャルで私たちに連絡することができます：@nakedsecurity。
それが今日の私たちのショーです。 聞いてくれてありがとう。
ポール・ダックリンの場合、私はダグ・アーモスです。次回まで…
どちらも 安全を確保してください！
【ミュージックモデム】
- SEO を活用したコンテンツと PR 配信。 今日増幅されます。
- Platoblockchain。 Web3メタバースインテリジェンス。 知識の増幅。 こちらからアクセスしてください。
- 情報源： https://nakedsecurity.sophos.com/2023/04/13/s3-ep130-open-the-garage-bay-doors-hal-audio-text/
