• https://newsroom.intel.com/wp-content/uploads/sites/11/2020/07/intel-thunderbolt4-security-brief.pdf

Kernel DMA Protection en Windows 10

Un ataque DMA es un tipo de ataque de canal lateral en seguridad informática, en el cual un atacante puede penetrar una computadora u otro dispositivo, explotando la presencia de puertos de expansión de alta velocidad que permiten el acceso directo a memoria ("DMA").  DMA está incluido en varias conexiones, ya que permite que un dispositivo conectado (como una videocámara, tarjeta de red, dispositivo de almacenamiento u otro accesorio útil o tarjeta de PC interna) transfiera datos entre sí y la computadora a la máxima velocidad posible, mediante el uso de acceso directo a hardware para leer o escribir directamente en la memoria principal sin supervisión ni interacción del sistema operativo

• https://docs.microsoft.com/en-us/windows/security/information-protection/kernel-dma-protection-for-thunderbolt

Como astutamente señala AnandTech, el uso de la tecnología de virtualización de Intel como componente necesario para recibir la certificación oficial añade un extra de seguridad, sí, pero también podría limitar la implementación de Thunderbolt 4 a los sistemas basados en el hardware de Intel. Queda por ver si este es el caso; de confirmarse, podría darse por ausente en los ordenadores con chips Ryzen, pero también en los equipos ARM de Apple.

Como sucedió con Thunderbolt 3, Intel ofrecerá la tecnología de su nueva interfaz a terceras partes de forma gratuita con la intención de favorecer su adopción. De entrada la única compañía que ha confirmado el desarrollo de productos compatibles es la propia Intel, comenzando por los procesadores y placas para portátiles Tiger Lake.

Thunderspy

• Vulnerabilidades en la tecnología Thunderbolt permiten el robo de información en equipos con uno de estos puertos
• Microsoft afirmó que los dispositivos Surface no tienen conector Thunderbolt para evitar problemas de seguridad

Björn Ruytenberg, investigador de la Universidad Técnica de Eindhoven, dió a conocer la existencia de varias vulnerabilidades en estas conexiones, explotables mediante un método de ataque bautizado como Thunderspy. Su sistema permite a un atacante con acceso físico saltarse las pantallas de acceso de un equipo Windows o Linux bloqueado y robar cualquier información presente en el disco duro, aunque este se encuentre cifrado. Thunderspy utiliza lo que en el argot técnico se conoce como un ataque mediante "evil maid" o "camarera malvada",

El investigador descubrió un total de 7 vulnerabilidades relacionadas con la verificación incorrecta del firmware, la autenticación de dispositivos débiles, el uso de metadatos de dispositivos no autenticados, ataques de degradación, configuraciones de controladores no autenticados, problemas de interfaz flash SPI y la falta de seguridad Thunderbolt cuando se usa Boot Camp, el herramienta que permite a los usuarios instalar Windows en computadoras Apple.

Los dispositivos fabricados desde 2011 son vulnerables a los ataques si tienen un puerto Thunderbolt; esto incluye puertos USB-C y Mini DisplayPort con un símbolo de rayo junto a ellos. Algunos dispositivos más nuevos, enviados desde 2019, pueden incluir Kernel DMA Protection, que mitiga algunas de las vulnerabilidades de Thunderspy. El investigador ha identificado el soporte para esta protección en algunos dispositivos HP EliteBook y ZBook más nuevos, y dispositivos Lenovo ThinkPad y Yoga.

Los dispositivos Apple solo se ven parcialmente afectados por las vulnerabilidades, principalmente si ejecutan Linux o Windows instalados a través de la utilidad Boot Camp.

El sistema operativo de Apple sigue siendo susceptible a "ataques similares a BadUSB", engañando al sistema para hacerle creer que se está utilizando un accesorio Thunderbolt certificado por Apple en lugar de un dispositivo malicioso.

Microsoft sorprendió en una presentación interna desvelando que la gama Surface no incorpora conectores Thunderbolt para evitar posibles accesos no autorizados.

• https://thunderspy.io/
• https://www.youtube.com/watch?v=7uvSZA1F9os

Aunque el método evil maid puede sonar algo enrevesado, ha sido utilizado en estafas y es el motivo por el que gobiernos y empresas indiquen a su personal que nunca deben dejar sus ordenadores portátiles desatendidos cuando se encuentren en el extranjero.

Hasta la ahora las recomendaciones de seguridad básicas pasan por no dejar desatendido el ordenador, evitar los modos de hibernación y, si no se van a utilizar dispositivos Thunderbolt, desactivar el controlador desde la UEFI (Thunderbolt 3 dejará de funcionar, pero el conector USB-C seguirá proporcionando carga).

A partir de Windows 10 versión 1803, Microsoft introdujo una nueva característica llamada Kernel DMA Protection para proteger las PC contra ataques de acceso directo a memoria (DMA) mediante dispositivos de conexión en caliente PCI conectados a puertos PCIe accesibles externamente (por ejemplo, puertos Thunderbolt ™ 3 y CFexpress) . En Windows 10 versión 1903, Microsoft amplió el soporte de Protección Kernel DMA para cubrir puertos PCIe internos (por ejemplo, ranuras M.2)

Los ataques DMA automáticos pueden conducir a la divulgación de información confidencial que reside en una PC, o incluso a la inyección de malware que permite a los atacantes evitar la pantalla de bloqueo o controlar las PC de forma remota. Esta característica no protege contra ataques DMA a través de 1394 / FireWire, PCMCIA, CardBus, ExpressCard, etc. Para obtener protección Thunderbolt DMA en versiones anteriores de Windows y plataformas que carecen de soporte para Kernel DMA Protection, consulte:

• https://thunderbolttechnology.net/security/Thunderbolt%203%20and%20Security.pdf

Fuente:
https://www.elotrolado.net/noticias/tecnologia/intel-thunderbolt-4-especificaciones