A Secure Vilust-sovelluksen kanssa.
ongelman ytimessä on Dellin ControlVault , järjestelmä-on-chip (SOC), joka on markkinoitu”turvallisena pankkina”käyttäjän herkimmalle tietolle. Tämän “tietokoneen-A-Computer”-arkkitehtuurin tarkoituksena on luoda luottamuksen laitteistojuuri, joka eristää kriittiset turvatoiminnot potentiaalisesti vaarannetusta pääprosessorista ja käyttöjärjestelmästä.
Riskillä oleva tietty laitteisto on Broadcom BCM5820x-siru, joka toimii yhtenäisenä tietoturvakeskuksena (USH). Tämä keskitys on välttämätöntä ominaisuuksien, kuten sormenjälkitieteellisten lukijoiden ja NFC-pohjaisten kirjautumisten, mahdollistamisessa, jotka ovat usein pakollisia aaltojen, kuten rahoituksen, terveydenhuollon ja valtion urakointien, noudattamiselle. Cisco Talosin vanhempi tutkija Philippe Laulheret totesi, että “arkaluontoiset teollisuudenalat, jotka vaativat korotettua turvallisuutta kirjautumisen yhteydessä… löytävät todennäköisemmin ControlVault-laitteita ympäristössään, koska ne ovat välttämättömiä näiden turvallisuusominaisuuksien mahdollistamiseksi.”Luo voimakkaita hyökkäysvektoreita. Virheet (CVE-2015-24311, CVE-2015-25050, CVE-2010-25215, CVE-201025-24922 ja CVE-2015-24919) purkaavat holvin puolustuksen tehokkaasti, jolloin hyökkääjä voi lukea, kirjoittaa ja suorittaa koodin. Yksi on etähyökkäys, jossa hyökkääjä, jolla on rajoitetut etuoikeudet, voisi hyödyntää Windows-sovellusliittymiä suorittaakseen haitallisen koodin laiteohjelmistossa. Tämä aiheuttaa uhan, joka on näkymätön perinteiselle virustorjuntaohjelmistolle ja jatkuu, vaikka käyttäjä asentaisi Windowsin kokonaan uudelleen-painajainen skenaario tietoturvatiimille.
dramaattisempi skenaario sisältää fyysisen pääsyn. Hyökkääjä voi avata kannettavan tietokoneen ja muodostaa yhteyden suoraan USH: hon. Koska hyökkäys kohdistuu USH: lle suoraan, se ohittaa kaiken käyttöjärjestelmän turvallisuuden, mukaan lukien Bitlockerin täyslevyn salaus. Silmiinpistävässä konseptitodistuksessa Talos-tutkijat osoittivat, että he voisivat väärentää laiteohjelmistoa hyväksyäkseen sormenjäljen, jopa avaamalla laitteen kevätsipulilla.
Tämä korostaa kasvavaa huolenaihetta laitteistoturvallisuudesta. Kuten Cisco Talosin tiedotuspäällikkö Nick Biasini selitti: “Nämä turvallisten erillisalueiden käsitteet ja biometristen tietojen käyttäminen… ovat yhä laajemmin levinnyt. Se on tulossa yleisesti laitteilla, mutta se tuo myös uuden hyökkäyspinnan,”alakuljetetaan tarvetta syvemmälle tarkistukselle ja näiden upotettujen järjestelmien kanssa.
Dell vastasi havaintoihin ennen julkistamista. Yrityksen tiedottaja korosti lausunnossaan proaktiivista lähestymistapaansa ilmoittaen: “Työskentelemällä laiteohjelmistomme kanssa, käsittelimme kysymyksiä nopeasti ja avoimesti ilmoitetut haavoittuvuudet haavoittuvuuden vastauspolitiikamme mukaisesti”. Aikataulu heijastaa vastuullisen koordinoidun julkistamisen prosessia, joka antaa myyjäkuukausille valmistella korjauksia ennen virheiden julkistamista.
Yhtiö julkaisi laastarit useiden kuukausien ajan, huipentuen , 13. kesäkuuta. IT-järjestelmänvalvojille tämä tarkoittaa yli 100 vaikuttavan mallin priorisointia laastarien hallintasyklissä. Organisaatioille, jotka eivät käytä näitä ominaisuuksia, ControlVault-palveluiden käytöstä poistaminen on toinen suositeltava vaihe.
Dell korosti myös käyttäjän huolellisuuden merkitystä lisäämällä: “Kuten aina, on tärkeää, että asiakkaat soveltavat viipymättä saatavilla olevia turvapäivityksiä ja siirrymme tuotteidemme tuettuihin versioihin varmistaakseen, että heidän järjestelmänsä pysyvät turvallisina.”Tiedottaja kommentoi edelleen näiden yhteistyön arvoa ja totesi, että tämä prosessi on keskeinen osa koko teollisuuden turvallisuuden vahvistamista.
Viime kädessä kunnianosoitustapaus toimii karkeana muistutuksena siitä, että tietoturva on ketju ja laitteistosäätiö on yksi sen kriittisimmistä linkeistä. Kun laitteet muuttuvat monimutkaisemmiksi, toimitusketjun jokaisen komponentin turvallisuus sirusta laiteohjelmistoon vaatii jatkuvaa ja tiukkaa validointia.