在这篇博文中,@astralvx 将描述一种物理硬件攻击,以捕获通过 SPI 总线传输的 Bitlocker 密钥。这里的所有信息都以某种形式公开,不属于专有信息。我们将讨论 Bitlocker 的详细信息,从预启动到操作系统的引导流程,TPM 2.0 和 SPI 总线的介绍,焊接到引脚上,逻辑分析仪,如何分析 SPI 流,使用提取的 VMK 解密 Bitlocker 受保护的卷,最后一些缓解措施。
Bitlocker 简介
Bitlocker 是微软的全卷加密,注意它不是全盘加密。卷上的数据(例如 C:)将使用完整卷加密密钥(FVEK)进行加密,并且 FVEK 存储在磁盘卷的元数据中。FVEK 本身使用卷主密钥(VMK)进行加密,而此 VMK 存储在 TPM 中。密钥保护程序(KP)可用于从 TPM 中解封 VMK。有关更多详细信息,请参阅 Bitlocker FIPS 140-2 文档[1]。
图 1 – Bitlocker 中涉及的加密密钥
启动流程
精简列表。由于重点是 TPM,将跳过有关 ACM、DRTM 等方面的更多重要内容。
-
信任根 – 信任链的过程是以此为锚定,对于 OEM 供应商来说,这将是嵌入式控制器(EC)及其对 EFI 初始引导块的完整性检查
-
测量启动 – UEFI BIOS 加载并执行 EFI 组件(可执行固件)的加密哈希,并将哈希扩展(附加)到 TPM PCR 银行中。
-
启动管理器(bootmgfw.efi – 包含初始 Bitlocker 代码)在未加密的 SYSTEM 分区上启动
-
引导管理器读取 NVRAM 变量以查找操作系统引导程序路径(例如 C:windowssystem32winload.efi)
-
引导管理器要求 TPM 解封 VMK。 TPM 在第 2 步“测量引导”后通过检查 PCR 寄存器来分析信任链,如果它们是预期值,则释放 VMK。 因此,对固件的任何修改都将破坏这种信任链,停止执行,并提示 Bitlocker 恢复屏幕
-
引导管理器与 VMK 解密 FVEK 以解密整个操作系统卷(C:)
-
引导管理器然后验证引导加载程序(winload.efi)的完整性并执行它。
-
引导加载程序将 NT 内核(ntoskrnl.exe)加载到内存中
-
引导加载程序加载到内存中:HAL,SYSTEM 注册表(%SystemRoot%System32configSYSTEM),SERVICEBOOTSTART 驱动程序
-
引导加载程序然后执行 NT 内核(ntoskrnl.exe)
-
引导加载程序最后调用 ExitBootServices(),并回收在 EFI 引导阶段使用的内存,从而结束引导阶段,操作系统内核开始运行
TPM 简介
可信平台模块(TPM)是一个密码处理器。它保存加密密钥,包括持久性存储器中的 VMK、认可密钥(EK)、存储根密钥(SRK),以及易失性存储器中的 PCR、AIK、SK。
TPM 类型:
-
离散 TPM – 专用芯片,英飞凌,新唐,意法半导体等
-
集成 TPM – 另一芯片的一部分,所有支持 TXT 的英特尔芯片
-
固件 TPM – AMD 平台安全处理器(PSP)具有 TPM 2.0(fTPM)、英特尔平台信任技术(PTT)、高通 fTPM
-
Hypervisor TPM – 依赖于虚拟机监控程序实现隔离执行环境,对虚拟机隐藏
-
软件 TPM – 通过操作系统软件模拟 TPM,安全性最低
当启用 Bitlocker 时,PCR 7 和 11 用于安全启动完整性验证。
CPU 通过 PCH 与 TPM 通信,在现代系统中通常通过 SPI 总线。
图 2 – 许多 TPM 供应商的常见引脚配置[2]
SPI 总线介绍
串行外围接口(SPI)是一种通信协议
OEM 供应商通常为公共 SPI 芯片和 TPM 共享一个 SPI 总线
SPI 总线指定了四个逻辑信号:
-
SCLK: 串行时钟(主机输出)
-
MOSI:主输出从输入(主机输出的数据)
-
MISO:主从输出(从从机输出的数据)
-
CS/SS: 芯片/从机选择(低电平有效,主机输出以指示数据正在发送)
图 3 – 共享 SPI 总线
由于 SPI 总线是共享的,如图 3 所示,从 TPM 发送到 CPU 的数据可以被其他 SPI 设备看到。典型的 PG-VQFN-32-13 封装的 TPM 具有非常细的引脚(0.5mm 间距),很难焊接,然而公共 SPI 芯片更容易进行焊接,如图 4 所示。
焊接
TPM 在图 2 中看到的腿宽为 0.5 毫米,很难焊接调试探针,除非你有显微镜和稳定的手。具有 BIOS 的公共 SPI 芯片通常很容易连接,因为它在 SOIC-8 封装上。如果在网上搜索制造商的板数据表,就可以准确找到在顶层暴露出感兴趣信号的地方焊接飞线。现代笔记本通常具有 10 层 PCB(使焊接变得极其繁琐),具有通孔(从一层到另一层提供电气访问的孔)如图 4 所示,不同层传输不同信号,例如 PCIe(M.2,WWAN,PCI 等),SPI,I2C,RF,NFC,音频,EMMC,HDMI,传感器,内存总线,USB,PD 等。
图 4 – 信号通过顶层的通孔暴露
逻辑分析仪
一旦调试线焊接上,Saleae 逻辑分析仪可以连接到 SPICLK、SPICS、SPISO、SPISI,如图 5 所示。由于信号完整性问题,读取时可能会遇到潜在的错误数据 – 由于不完美的焊接导致通道之间的串扰,或者由于调试电缆过长(因此增加更多的铜/电阻)导致阻抗等等。
图 5 – Saleae 逻辑分析仪连接到 SPI 芯片上的调试探针
SPI 流
一旦逻辑分析仪连接好,将采样率更改为超过 TPM SPI 时钟速度的 4 倍以上。这种过采样是为了保持名义带宽,否则会发生混叠,导致错误采样的字节。图 2 中的英飞凌赛能 TPM 在 3.3V 下运行,并具有最大 SPI 时钟速度为 43 MHz,因此我们需要以 43*4=172 MS/s(百万样本每秒)进行采样,或者使用 Saleae 逻辑分析仪提供的固定采样率 250 MS/s。
当您启动笔记本电脑并经历引导阶段时,请参考“引导流程”部分。预引导 UEFI 中的引导管理器(bootmgfw.efi)要求 TPM 解封 VMK。如果 PCR 处于正确状态并且保护程序已验证,则 VMK 将被解封并通过 SPI 总线从 TPM 发送到平台控制中心(PCH)又名芯片组。这将导致一个类似于图 6 中所示的捕获 SPI 流,并且其中将包含 32 字节的 VMK。
图 6 – POST 到 OS 加载的 SPI 流
放大到单个 SPI 事务,如图 7 所示。具体来说,TPM 正在返回字节 0xC1。请注意,TPM_CS 被断言,因此它是共享 SPI 总线上的活动从设备。在此事务中,总共有 40 个周期== 40 位== 5 字节,具体如下:
-
PCH 向 TPM 发送 4 个字节,请求为 80h D4h 00h 24h,通过 MOSI 发送,TPM 通过 MISO 回应为 C1h。阅读 TCG 规范可以帮助您理解命令格式。
-
0x80 = 读取(MSB 设置),位 5:0 是后续数据大小,0 = 1 字节事务。
-
0xD40024 = TPMDATAFIFO_0。在 MOSI 线上(主机发送命令数据到 TPM)。0x0024 = 主机和 TPM 之间 FIFO 数据缓冲区的 TPM 寄存器,用于命令或响应。Bitlocker 仅使用 Locality 0,因此 0024。Locality 1 使用 1024,Locality 2 使用 2024 等。
-
0xC1(1 字节响应)= MISO(主机输入/ CPU 从 TPM 接收响应数据)
这样做 32 次将导致从 TPM 发送到 PCH 的 32 字节,因此 AES-256 VMK。然而,在我们当前的情况下,我们将捕获数十万字节的 SPI 流,因此您将需要解剖并获取这 32 个字节。
图 7 – TPM 读取命令的 SPI 周期
暴力破解
一旦您可靠地捕获了数据流,就可以对数十万个 SPI 字节中的每个 32 字节组合进行穷举以找到密钥。
从您已捕获 SPI 流的目标机器中移除 Bitlocker 加密的 M.2 SSD,并使用 USBC-M.2 适配器将该 M.2 SSD 连接到运行 Linux 的机器。
Dislocker 是一个开源的 Linux 驱动程序,用于读取 Bitlocker 加密分区,它支持使用 VMK 进行解密。将您流中的每个 32 字节通信传递给这个 Dislocker 工具,在几千次尝试后,最终会成功获取密钥。
使用 ntfs-3g 挂载解密的 Dislocker NTFS 文件,然后就完成了。图 8 显示了插入到另一台 Linux 机器的 Bitlocker 加密驱动器的解密和挂载内容。
图 8 – 在另一个单元上找到 VMK 并挂载了 Bitlocker 加密驱动器
缓解措施
启用诸如字母数字 PIN 码或 USB 启动密钥之类的关键保护程序,因此,如果 SSD 被盗,攻击者需要具备这些额外信息;TPM 具有防止暴力破解的反锤击功能。不要使用离散的 TPM,而是使用由 AMD PSP 提供的固件 TPM(fTPM),它在 SOC 本身具有 TPM IP 块,因此使用内部芯片通信,而不使用公共 SPI 总线。让微软在 Bitlocker 中启用 TPM 参数加密,以在预启动时使用 authsession 加密命令和响应。
如果你是一个车联网攻防的长期主义者,欢迎加入我的知识星球,我们一起往前走,每日都会更新,微信识别二维码付费即可加入,如不满意,72 小时内可在 App 内无条件自助退款。
原文始发于微信公众号(车联网攻防日记):【车联网】物理硬件攻击捕获通过 SPI 总线传输的 Bitlocker 密钥(转载)