अपने डोंगल का ध्यान रखें: लॉजिटेक कीबोर्ड रिसीवर सुरक्षा अध्ययन

ऐतिहासिक रूप से, अधिकांश कर्मचारी लॉजिटेक वायरलेस कीबोर्ड और चूहों का उपयोग करते हैं। एक बार फिर अपना पासवर्ड दर्ज करते हुए, हम, रैकोन सिक्योरिटी टीम, ने सोचा: वायरलेस कीबोर्ड के सुरक्षा तंत्र को बायपास करना कितना मुश्किल है? अध्ययन में वास्तु दोषों और सॉफ़्टवेयर त्रुटियों का पता चला है जो इनपुट डेटा तक पहुंच की अनुमति देता है। कटौती के तहत - हमने क्या किया।

क्यों Logitech?

हमारी राय में, लॉजिटेक इनपुट डिवाइस उच्चतम गुणवत्ता और सबसे सुविधाजनक में से हैं। हमारे पास मौजूद अधिकांश उपकरण लॉजिटेक यूनिफाइंग समाधान पर आधारित हैं - यह एक सार्वभौमिक डोंगल रिसीवर है जो आपको 6 उपकरणों तक कनेक्ट करने की अनुमति देता है। सभी Logitech के संगत उपकरणों को संगत लोगो के साथ लेबल किया गया है। एक आसान-से-उपयोग एप्लिकेशन आपको अपने कंप्यूटर पर वायरलेस कीबोर्ड के कनेक्शन को नियंत्रित करने की अनुमति देता है। कीबोर्ड को लॉजिटेक डोंगल-रिसीवर से कनेक्ट करने की प्रक्रिया, साथ ही साथ प्रौद्योगिकी खुद को कवर किया गया है, उदाहरण के लिए, यहां ।

लॉजिटेक यूनिफाइड डोंगल रिसीवर

कीबोर्ड हमलावरों के लिए जानकारी का स्रोत हो सकता है। लॉजिटेक, एक संभावित खतरे को ध्यान में रखते हुए, सुरक्षा का ध्यान रखता था - यह वायरलेस कीबोर्ड के रेडियो चैनल में एईएस128 एन्क्रिप्शन एल्गोरिथ्म का उपयोग करता था। पहले सोचा था कि एक हमलावर इस स्थिति में यात्रा कर सकता है जब लिंकिंग प्रक्रिया के दौरान हवा में संचारित होने पर महत्वपूर्ण जानकारी को रोकना होता है। आखिरकार, यदि आपके पास एक कुंजी है, तो आप कीबोर्ड रेडियो संकेतों को रोक सकते हैं और उन्हें डिक्रिप्ट कर सकते हैं। हालांकि, उपयोगकर्ता को शायद ही कभी (या कभी भी नहीं) कीबोर्ड को यूनिफाइंग प्रक्रिया के साथ जोड़ना पड़ता है, और स्कैनिंग रेडियो वाले एक हैकर को लंबे समय तक इंतजार करना होगा। इसके अलावा, नहीं सब कुछ अवरोधन प्रक्रिया के साथ इतना सरल है। जून 2019 में एक हालिया अध्ययन में, सुरक्षा विशेषज्ञ मार्कस मेंगस ने लॉजिटेक यूएसबी डोंगल के लिए पुराने फर्मवेयर में कमजोरियों की खोज के बारे में नेटवर्क पर एक संदेश पोस्ट किया। यह रेडियो चैनल एन्क्रिप्शन कुंजी प्राप्त करने और कीस्ट्रोक्स (CVE-2019-13054) को इंजेक्ट करने के लिए उपकरणों तक भौतिक पहुंच के साथ हमलावरों को अनुमति देता है।

हम नॉर्डिक सेमीकंडक्टर से हमारे लॉजिटेक SoC NRF24 डोंगल सुरक्षा अध्ययन के बारे में बात करेंगे। और चलो रेडियो चैनल से ही शुरू करते हैं।

रेडियो चैनल में डेटा "उड़" कैसे करें

रेडियो सिग्नल के समय-आवृत्ति विश्लेषण के लिए, हमने स्पेक्ट्रम विश्लेषक मोड में ब्लेड-आरएफ डिवाइस के आधार पर एसडीआर रिसीवर का उपयोग किया (इसे यहां भी पढ़ा जा सकता है )।

एसडीआर ब्लेड-आरएफ डिवाइस

हमने एक मध्यवर्ती आवृत्ति पर रेडियो सिग्नल के चतुष्कोणों को रिकॉर्ड करने की संभावना पर विचार किया, और फिर डिजिटल सिग्नल प्रोसेसिंग विधियों का उपयोग करके उनका विश्लेषण किया।

रूसी संघ में रेडियो फ्रीक्वेंसी पर राज्य आयोग ने आवृत्ति रेंज 2400–2483.5 मेगाहर्ट्ज में कम दूरी के उपकरणों के उपयोग की अनुमति दी । यह एक बहुत ही "पॉपुलेटेड" रेंज है जिसमें आप कुछ भी नहीं पा सकते हैं: वाई-फाई, ब्लूटूथ, विभिन्न रिमोट कंट्रोल, सुरक्षा प्रणाली, वायरलेस डिटेक्टर, कीबोर्ड वाले माउस और अन्य वायरलेस डिजिटल डिवाइस।

2.4 गीगाहर्ट्ज बैंड स्पेक्ट्रम

रेंज में हस्तक्षेप का माहौल काफी जटिल है। इसके बावजूद, Logitech आवृत्ति अनुकूलन एल्गोरिदम के साथ संयोजन में NRF24 ट्रांसीवर में एन्हांस्ड शॉकबर्स्ट प्रोटोकॉल का उपयोग करके विश्वसनीय और स्थिर रिसेप्शन प्रदान करने में सक्षम था।

रेंज में चैनल पूर्णांक मेगाहर्ट्ज पदों पर स्थित हैं, जैसा कि NRF24 नॉर्डिक सेमीकंडक्टर विनिर्देश में परिभाषित किया गया है - आवृत्ति ग्रिड में कुल 84 चैनल। लॉजिटेक द्वारा एक साथ उपयोग किए जाने वाले आवृत्ति चैनलों की संख्या, निश्चित रूप से कम है। हमने कम से कम चार के उपयोग की पहचान की है। उपयोग किए जाने वाले सिग्नल स्पेक्ट्रम विश्लेषक के सीमित क्षेत्र के कारण, प्रयुक्त आवृत्ति पदों की सटीक सूची निर्धारित करना संभव नहीं था, लेकिन यह आवश्यक नहीं था। कीबोर्ड से डोंगल रिसीवर तक सूचना बर्स्ट मोड (ट्रांसमीटर पर शॉर्ट स्विचिंग द्वारा) में प्रसारित होती है, दो स्थिति आवृत्ति मॉड्यूलेशन GFSK का उपयोग करके 1 Mbaud की प्रतीक गति:

अस्थायी प्रतिनिधित्व में कीबोर्ड रेडियो सिग्नल

रिसीवर रिसेप्शन के सहसंबंध सिद्धांत का उपयोग करता है, इसलिए प्रस्तावित और पता भाग प्रेषित पैकेट में मौजूद है। कोई हस्तक्षेप कोडिंग लागू नहीं किया गया है; डेटा बॉडी को एईएस128 एल्गोरिथ्म के साथ एन्क्रिप्ट किया गया है।

सामान्य तौर पर, लॉजिटेक वायरलेस कीबोर्ड के रेडियो इंटरफेस को सांख्यिकीय बहुसंकेतन और आवृत्ति अनुकूलन के साथ पूरी तरह से अतुल्यकालिक के रूप में चित्रित किया जा सकता है। इसका मतलब है कि कीबोर्ड ट्रांसमीटर प्रत्येक नए पैकेट को प्रसारित करने के लिए चैनल को स्विच करता है। न तो संचरण समय और न ही आवृत्ति चैनल रिसीवर के लिए अग्रिम में जाना जाता है, और केवल उनकी सूची ज्ञात है। रिसीवर और ट्रांसमीटर चैनल को बायपास करने और आवृत्तियों को सुनने के लिए सहमत एल्गोरिदम के लिए धन्यवाद, साथ ही एन्हांस्ड शॉकबर्स्ट पुष्टिकरण तंत्र के लिए मिलते हैं। हमने यह जांच नहीं की कि चैनल सूची स्थिर है या नहीं। संभवतः, इसका परिवर्तन आवृत्ति अनुकूलन एल्गोरिथ्म के कारण है। आवृत्ति hopping विधि (ऑपरेटिंग आवृत्ति के छद्म-यादृच्छिक ट्यूनिंग) के करीब कुछ सीमा के आवृत्ति संसाधन के उपयोग में अनुमान लगाया गया है।

इस प्रकार, समय-आवृत्ति अनिश्चितता की स्थितियों में, सभी कीबोर्ड संकेतों की प्राप्ति की गारंटी देने के लिए, एक हमलावर को लगातार 84 पदों की एक पूरी आवृत्ति ग्रिड की निगरानी करने की आवश्यकता होगी, जिसके लिए काफी समय की आवश्यकता होती है। यहां यह स्पष्ट हो जाता है कि स्रोतों में USB (CVE-2019-13054) के माध्यम से कुंजी निष्कर्षण की भेद्यता कीबोर्ड से दर्ज किए गए डेटा तक एक हमलावर पहुंच प्राप्त करने के बजाय कीस्ट्रोक्स को इंजेक्ट करने की क्षमता के रूप में तैनात है। जाहिर है, वायरलेस कीबोर्ड का रेडियो इंटरफेस काफी जटिल है और 2.4 गीगाहर्ट्ज बैंड में मुश्किल हस्तक्षेप की स्थिति में लॉजिटेक उपकरणों के बीच विश्वसनीय रेडियो संचार प्रदान करता है।

अंदर से समस्या को देखो

शोध के लिए, हमने अपने Logitech K330 कीबोर्ड में से एक और Logitech यूनिफाइड डोंगल को चुना।

लॉजिटेक K330

आइए कीबोर्ड के अंदर देखें। बोर्ड पर अध्ययन करने के लिए एक दिलचस्प तत्व नॉर्डिक सेमीकंडक्टर से SoR NRF24 चिप है।

LogC K330 वायरलेस कीबोर्ड पर SoC NRF24

फर्मवेयर आंतरिक मेमोरी में स्थित है, रीडिंग और डीबगिंग तंत्र बंद हैं। दुर्भाग्य से, फर्मवेयर खुले स्रोतों में प्रकाशित नहीं हुआ है। इसलिए, हमने दूसरी तरफ से समस्या का फैसला किया - लॉजिटेक डोंगल रिसीवर की आंतरिक सामग्री का अध्ययन करने के लिए।

डोंगल रिसीवर की "आंतरिक दुनिया" काफी दिलचस्प है। डोंगल को आसानी से विघटित किया जाता है, बोर्ड पर परिचित NRF24 को एक अंतर्निहित USB नियंत्रक के साथ जारी किया जाता है और इसे USB की ओर से और प्रोग्रामर द्वारा सीधे रिप्रोग्राम किया जा सकता है।

आवास के बिना Logitech डोंगल

चूंकि फर्मवेयर अपडेट टूल एप्लिकेशन (जिसमें आप अपडेट किए गए फर्मवेयर संस्करण को निकाल सकते हैं) का उपयोग करके एक नियमित फर्मवेयर अपडेट तंत्र है, डोंगल के अंदर फर्मवेयर की खोज करने की कोई आवश्यकता नहीं है।

क्या किया गया था: फर्मवेयर अपडेट टूल एप्लिकेशन के शरीर से फर्मवेयर RQR_012_005_00028.bin निकाला गया था। इसकी अखंडता की जांच करने के लिए, डोंगल नियंत्रक एक चिप द्वारा चिपप्रोग -48 प्रोग्रामर से जुड़ा था:

Logitech डोंगल केबल से चिपप्रोग 48 प्रोग्रामर

फर्मवेयर की अखंडता को नियंत्रित करने के लिए, इसे सफलतापूर्वक नियंत्रक मेमोरी में रखा गया था और सही तरीके से काम किया गया था, कीबोर्ड और माउस लॉजिटेक यूनिफाइंग के माध्यम से डोंगल से जुड़े थे। मानक अद्यतन तंत्र का उपयोग करके संशोधित फर्मवेयर को भरना संभव है, क्योंकि फर्मवेयर के लिए कोई क्रिप्टोग्राफिक सुरक्षा तंत्र नहीं हैं। अनुसंधान उद्देश्यों के लिए, हमने प्रोग्रामर के लिए एक शारीरिक संबंध का उपयोग किया, क्योंकि डिबगिंग इस तरह से बहुत तेज है।

फर्मवेयर पर शोध करना और उपयोगकर्ता इनपुट पर हमला करना

NRF24 चिप को पारंपरिक हार्वर्ड आर्किटेक्चर में Intel 8051 कंप्यूटिंग कोर पर आधारित बनाया गया है। कोर के लिए, ट्रांसीवर एक परिधीय उपकरण के रूप में कार्य करता है और रजिस्टरों के एक सेट के रूप में एड्रेस स्पेस में स्थित होता है। चिप दस्तावेज़ीकरण और स्रोत कोड उदाहरण इंटरनेट पर पाए जा सकते हैं, इसलिए फ़र्मवेयर को हटाना मुश्किल नहीं है। रिवर्स इंजीनियरिंग के दौरान, हमने रेडियो चैनल से कीस्ट्रोक्स पर डेटा प्राप्त करने और यूएसबी इंटरफ़ेस के माध्यम से मेजबान को संचरण के लिए छिपाई प्रारूप में परिवर्तित करने के कार्यों को स्थानीयकृत किया। नि: शुल्क मेमोरी पतों में, एक इंजेक्शन कोड रखा गया था, जिसमें मूल निष्पादन संदर्भ को नियंत्रित करने, बचाने और बहाल करने के लिए उपकरण शामिल थे, साथ ही एक कार्यात्मक कोड भी था।

एक रेडियो चैनल से प्राप्त कुंजी को दबाने या जारी करने के लिए एक पैकेट को डिक्रिप्ट किया जाता है, एक मानक छिपाई रिपोर्ट में बदल दिया जाता है और एक नियमित कीबोर्ड से यूएसबी इंटरफ़ेस में भेजा जाता है। अध्ययन के एक हिस्से के रूप में, हमारे लिए सबसे दिलचस्प हिस्सा HID रिपोर्ट का हिस्सा है जिसमें संशोधक झंडे की बाइट और की-कोड के साथ 6 बाइट्स की एक सरणी होती है (संदर्भ के लिए, HID के बारे में जानकारी यहाँ है )।

छिपाई रिपोर्ट संरचना:

// Keyboard HID report structure. // See https://flylib.com/books/en/4.168.1.83/1/ (last access 2018 december) // "Reports and Report Descriptors", "Programming the Microsoft Windows Driver Model" typedef struct{ uint8_t Modifiers; uint8_t Reserved; uint8_t KeyCode[6]; }HidKbdReport_t; 

HID संरचना को होस्ट में स्थानांतरित करने से ठीक पहले, इंजेक्शन कोड नियंत्रण लेता है, मेमोरी में देशी HID डेटा के 8 बाइट्स को कॉपी करता है, और इसे स्पष्ट रूप में साइड रेडियो चैनल पर भेजता है। कोड में, यह इस तरह दिखता है:

 //~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~> // Profiling have shown time execution ~1.88 mSec this block of code SaveRfState(); // save transceiver state RfInitForTransmition(TransmitRfAddress); // configure for special trnsmition hal_nrf_write_tx_payload_noack(pDataToSend,sizeof(HidKbdReport_t)); // Write payload to radio TX FIFO CE_PULSE(); // Toggle radio CE signal to start transmission RestoreRfState(); // restore original transceiver state //~~~~~~~~~ Send data via radio ~~~~~~~~~~~~~~~~~~~~~~~~~< 

साइड चैनल हेरफेर गति और पैकेट संरचना की कुछ विशेषताओं के साथ हमारे द्वारा निर्धारित आवृत्ति पर आयोजित किया जाता है।

NRF24 चिप में ट्रांसीवर का संचालन एक राज्य ग्राफ पर आधारित है, जिसमें एन्हांस्ड शॉकबर्स्ट प्रोटोकॉल को व्यवस्थित रूप से दर्ज किया गया है। हमें पता चला कि HID डेटा को होस्ट USB इंटरफ़ेस में स्थानांतरित करने के तुरंत पहले, ट्रांसीवर IDLE अवस्था में था। यह साइड चैनल में काम करने के लिए सुरक्षित रूप से पुन: कॉन्फ़िगर करना संभव बनाता है। इंजेक्ट कोड नियंत्रण को स्वीकार करता है, मूल ट्रांसीवर कॉन्फ़िगरेशन को पूर्ण रूप से बचाता है, और इसे साइड चैनल पर नए ट्रांसमिशन मोड में स्थानांतरित करता है। इस मोड में एन्हांस्ड ShockBurst पावती तंत्र को बंद कर दिया गया है, स्पष्ट में छिपाया गया डेटा हवा में प्रेषित होता है। साइड चैनल में पैकेट की संरचना नीचे दिए गए चित्र में दिखाई गई है, तरंग विरूपण आरेख डिमॉड्यूलेशन के बाद और घड़ी डेटा सिंक्रनाइज़ेशन की बहाली से पहले प्राप्त किए गए थे। पता मूल्य पैकेट के दृश्य पहचान की सुविधा के लिए चुना जाता है।

बर्स्ट बर्स्ट डेमोडिकेटेड सिग्नल

साइड चैनल पर पैकेट के प्रसारण के पूरा होने के बाद, इंजेक्शन कोड ट्रांसीवर की स्थिति को पुनर्स्थापित करता है। अब वह फिर से मूल फर्मवेयर के संदर्भ में सामान्य मोड में काम करने के लिए तैयार है।

फ़्रीक्वेंसी और टाइम-फ़्रीक्वेंसी क्षेत्रों में, साइड चैनल जैसा कि चित्र में दिखाया गया है:

साइड चैनल के स्पेक्ट्रम और समय-आवृत्ति प्रतिनिधित्व

संशोधित फर्मवेयर के साथ NRF24 चिप के संचालन का परीक्षण करने के लिए, हमने एक स्टैंड को इकट्ठा किया जिसमें संशोधित फर्मवेयर के साथ एक लॉजिटेक डोंगल, एक वायरलेस कीबोर्ड और एक रिसीवर शामिल थे जो NRF24 चिप के साथ चीनी मॉड्यूल के आधार पर इकट्ठे हुए थे।

Logitech वायरलेस कीबोर्ड रेडियो अवरोधन आरेख

NRF24 आधारित मॉड्यूल

लॉजिटेक डोंगल से कनेक्ट करने के बाद सामान्य कीबोर्ड ऑपरेशन के दौरान स्टैंड पर, हमने माध्यमिक रेडियो चैनल में कीस्ट्रोक्स पर खुले डेटा के प्रसारण और मुख्य रेडियो इंटरफेस में एन्क्रिप्टेड डेटा के सामान्य संचरण का अवलोकन किया। इस प्रकार, हम उपयोगकर्ता के कीबोर्ड इनपुट का प्रत्यक्ष अवरोधन प्रदान करने में सक्षम थे:

कीबोर्ड अवरोधन परिणाम

इंजेक्शन कोड डोंगल फर्मवेयर के संचालन में थोड़ी देरी का परिचय देता है। हालांकि, वे उपयोगकर्ता को नोटिस करने के लिए बहुत छोटे हैं।

जैसा कि आप कल्पना कर सकते हैं, यूनीफिकेशन तकनीक के साथ संगत कोई भी लॉजिटेक कीबोर्ड ऐसे हमले वेक्टर के लिए इस्तेमाल किया जा सकता है। चूँकि यह हमला यूनीफाइंग रिसीवर के उद्देश्य से किया गया है, जिसे अधिकांश लॉजिटेक कीबोर्ड के साथ शामिल किया गया है, यह विशिष्ट कीबोर्ड मॉडल पर निर्भर नहीं करता है।

निष्कर्ष

अध्ययन के परिणामों से पता चलता है कि हमलावर विचारशील परिदृश्य का उपयोग कर सकते हैं: यदि हैकर पीडि़त को लॉजिच वायरलेस कीबोर्ड के लिए डोंगल रिसीवर से बदल देता है, तो वह सभी आगामी परिणामों के साथ पीड़ित के खातों के पासवर्ड का पता लगा सकेगा। यह मत भूलो कि कीस्ट्रोक्स इंजेक्ट करना भी संभव है, जिसका अर्थ है कि पीड़ित के कंप्यूटर पर मनमाना कोड निष्पादित करना मुश्किल नहीं है।

क्या होगा अगर एक हमलावर USB के माध्यम से किसी भी Logitech डोंगल के फर्मवेयर को दूरस्थ रूप से संशोधित कर सकता है? फिर पास के डोंगल से आप रिपीटर्स का एक नेटवर्क जोड़ सकते हैं और क्रीपेज की दूरी बढ़ा सकते हैं। यद्यपि "वित्तीय रूप से सुरक्षित" हमलावर के पास अत्यधिक चयनात्मक प्रणालियों के साथ आधुनिक रेडियो रिसेप्शन है, एक छोटी आवृत्ति ट्यूनिंग समय और संकरी उन्मुख एंटेना के साथ संवेदनशील रेडियो, वे आपको कीबोर्ड इनपुट और पड़ोसी की यहां तक ​​कि प्रेस कुंजी को "सुनने" की अनुमति देंगे।

पेशेवर रेडियो उपकरण

चूंकि लॉजिटेक कीबोर्ड वायरलेस डेटा चैनल काफी अच्छी तरह से संरक्षित है, इसलिए हमला किए गए वेक्टर को रिसीवर तक भौतिक पहुंच की आवश्यकता होती है, जो हमलावर को बहुत सीमित करता है। इस मामले में एकमात्र सुरक्षा विकल्प रिसीवर फर्मवेयर के लिए क्रिप्टोग्राफिक सुरक्षा तंत्र का उपयोग हो सकता है, उदाहरण के लिए, रिसीवर पक्ष पर डाउनलोड किए गए फर्मवेयर के हस्ताक्षर की जांच करना। लेकिन, दुर्भाग्य से, NRF24 इसका समर्थन नहीं करता है और वर्तमान डिवाइस आर्किटेक्चर के भीतर सुरक्षा को लागू करना असंभव है। इसलिए अपने डोंगल का ध्यान रखें, क्योंकि हमले के वर्णित संस्करण के लिए उन तक शारीरिक पहुँच की आवश्यकता होती है।

रैकोन सुरक्षा व्यावहारिक सूचना सुरक्षा, क्रिप्टोग्राफी, सर्किट्री, रिवर्स इंजीनियरिंग और निम्न-स्तरीय सॉफ़्टवेयर के निर्माण के क्षेत्र में ज्वालामुखी वैज्ञानिक और तकनीकी केंद्र के विशेषज्ञों की एक विशेष टीम है।