Ultradźwiękowe ukryte sieci dzięki technice floty: badBIOS jednak możliwy?

Historia badBIOS-a, szkodnika, który rzekomozainfekował wszystkie komputery w laboratorium badacza DragosaRuiu, do tej pory nie znalazła potwierdzenia ze strony niezależnychekspertów. Do tej pory też nikt nie zdołał wykazać jednoznacznie, żeRuiu jest po prostu paranoikiem, albo też, że własności, jakieprzypisuje on badBIOS-owi, są technicznie niemożliwe. Tymczasemdwójka niemieckich badaczy z Instytutu Fraunhofera w Wachtberguopublikowała w listopadowym numerze Journal of Communicationsartykuł, z którego wynika, że bezprzewodowa komunikacja kanałemakustycznym między odłączonymi od urządzeń sieciowych urządzeniamijest jak najbardziej możliwa – a przypomnijmy, że Dragos Ruiuutrzymywał, że właśnie w taki sposób zakażone komputery w jegolaboratorium komunikują się między sobą po odcięciu ich od sieci.Na mikrofony i głośniki wbudowane w komputery trzeba będzie zacząćpatrzyć z większą podejrzliwością. Według Michaela Hanspacha iMichaela Goetza, autorów artykułuOn Covert Acoustical Mesh Networks in Air, mogą one posłużyćdo tworzenia ukrytych kanałów komunikacji, pozwalających naprzesyłanie danych poza normalną, kontrolowaną siecią. Spełniają onewszystkie postulaty ukrytej komunikacji – można wykorzystać jedo nadawania i odbierania sygnału, są dostępne dla procesówsoftware'owych w przejętej maszynie, nie są rozważane jako urządzeniakomunikacyjne, więc nie są objęte systemowymi politykamibezpieczeństwa, mogą też transmitować sygnały tak, by uniknąćprzypadkowego wykrycia.Badacze postawili sobie cel ambitniejszy, niż tylko stworzenieukrytego akustycznego kanału komunikacji między komputerami –chcieli ustalić, czy możliwe jest stworzenie całej ukrytejakustycznej sieci kratowej, która dynamicznie włącza nowychuczestników i pozwala na trasowanie przesyłanych między nimiwiadomości. Jakie warunki powinno spełniać oprogramowanie, któreumożliwiałoby taki niewykrywalny przekaz? Standardowe protokołysieciowe, takie jak TCP/IP, nie za bardzo nadają się do takichzastosowań, ze względu na generowany przez nie znaczny narzut, więckonieczne jest znalezienie lub zaprojektowanie czegoś bardziejoszczędnego, dostosowanego do minimalistycznej specyfiki akustycznegokanału komunikacji.[img=covertnetwork]Jest jedno środowisko, w którym sieci akustyczne były rozważanejuż od dawna, jako że w środowisku tym fale elektromagnetyczne sąbardzo skutecznie pochłaniane. Wydział podwodnej akustyki i geofizykiw technicznym centrum Bundeswehry w Kiel opracował kompletny protokółkomunikacyjny dla komunikacji między okrętami podwodnymi. Składa sięon z czterech niezależnych warstw – aplikacyjno-transportowej,sieciowej, korekcji błędów (opcjonalnie) i fizycznego połączenia.Wszystkie warstwy są ze sobą połączone przez wewnętrzne połączeniaTCP, a każdą można niezależnie od innych modyfikować. W warstwie aplikacyjnej wykorzystywany jest format ramki danychGUWAL ((Generic Underwater Application Language) dla taktycznejkomunikacji w sieciach podwodnych o niskiej przepustowości(przykładowo jego adresy są 6-bitowe, a nie 32-bitowe jak w IPv4). Wwarstwie sieciowej działa z kolei protokół trasowania ad-hoc o nazwieGUWMANET (Gossiping in Underwater Mobile Ad-hoc Networks), którypozwala na rozróżnianie sąsiadów i budowanie tras, w ten sposób, żepierwszą wiadomością zalewa się sieć, każdy węzeł powtarza wiadomość,dodając adres węzła, od którego wiadomość otrzymał. Gdy wiadomośćdotrze do docelowego węzła, zwracany jest komunikat z powrotem doźródła z podaniem adresów wszystkich pośrednich węzłów. W ten sposóbpowstaje trasa dla kolejnych pakietów.Warstwa fizycznego połączenia w zastosowaniach Bundesmarinewykorzystuje oczywiście modemy akustyczne, dostosowane do specyfikipołączeń podwodnych, ale modyfikacje częstotliwości sygnału ipróbkowania oraz dodatkowe filtry pozwoliły dopasować ją do specyfikipołączeń między komputerami w warunkach pokojowych, tak by możliwebyło wykorzystanie ultradźwięków. Wstępne testy pokazały bowiem, żekomputery wykorzystywane w eksperymencie (laptopy Lenovo T400 zsystemem Debian 7.1) mogą bez problemów przetwarzać ultradźwięki oczęstotliwości około 20 kHz.Zasięg takich połączeń może być zaskakująco duży – w25-metrowym korytarzu budynku Instytutu Fraunhofera dwa laptopy mogłyze sobą „rozmawiać” na odległość niemal 20 metrów, zprzepustowością około 20 bit/s. W sieci akustycznej składającej się zpięciu laptopów ustawionych w przestrzeni biurowej maksymalneodległości między węzłami wynosiły 6 metrów, a opóźnienia wprzekazywaniu pakietu przez nawet trzy-cztery węzły nie przekraczałykilkunastu sekund. Co więcej, dzięki filtrom środkowoprzepustowymudało się wyeliminować zakłócenia związane z typowymi źródłamihałasu, takimi jak ludzka mowa. Podstawowym ograniczeniem okazała sięwzajemna widzialność – komunikacja była niemożliwa, jeśli nalinii między komputerami pojawiały się fizyczne przeszkody.Co można zrobić dysponując taką ukrytą kratową siecią akustyczną?Mimo skromnej przepustowości na poziomie 20 bit/s, całkiem wiele.Badaczom udało się m.in. uruchomić keyloggera, który przez takąakustyczną sieć przekazywał informacje o klawiszach naciśniętych nakomputerze ofiary do napastnika znajdującego się w odległym miejscu.Możliwe było nawet połączenie się z Internetem przez specjalne proxy,a nawet tunelowanie protokołu GUWMANET/GUWAL przez TCP/IP, tak bypołączyć między sobą sieci akustyczne w odległych miejscach. Autorzyartykułu sugerują nawet, że dzięki opisanej technice możliwe byłobynawet złamanie dwuetapowego uwierzytelniania, przez przejęciekomunikacji sprzętowego dongle'a, czy też wykorzystanie zarażonychwęzłów nie tylko jako routerów, ale też jako dostawców ukrytych usługdla takiej sieci.Jak bronić się przed ukrytymi sieciami? Najprościej jest wyłączyćurządzenia audio, ale jeśli to niemożliwe, to konieczne będziezastosowanie filtrów, które odcięłyby ultradźwiękowe sygnały. Jużprosty filtr dolnoprzepustowy, włączony przez linuksowe API LADSPA,pozwolił na usunięcie dźwięków powyżej 18 kHz, uniemożliwiająckomunikację w ukrytej sieci. Dlatego badacze postulują, że koniecznebyłoby wprowadzenie w systemach operacyjnych zaufanego mechanizmufiltrowania dźwięków, który nadzorowałby to, co oprogramowanie robina dźwiękowym wejściu i wyjściu. W najbardziej rozbudowanychwariantach mógłby to być kompletny system wykrywania włamań (IDS),reagujący na określone charakterystyki wykrytych sygnałów.