นักวิจัยด้านความปลอดภัยได้พบช่องโหว่ที่อาจส่งผลกระทบต่ออุปกรณ์นับพันล้านเครื่องทั่วโลก ไมโครชิป ESP32 ซึ่งเป็นส่วนประกอบที่พบในอุปกรณ์ IoT มากมายตั้งแต่สมาร์ทโฟนไปจนถึงอุปกรณ์ทางการแพทย์ มีคำสั่งที่ไม่ได้เปิดเผยเอกสารซึ่งอาจถูกนำไปใช้ในทางที่ผิดภายใต้สถานการณ์บางอย่าง
การค้นพบ
นักวิจัยด้านความปลอดภัยชาวสเปนจาก Tarlogic Security ได้ระบุชุดคำสั่งซ่อนเร้นเฉพาะของผู้ผลิต 29 รายการในเฟิร์มแวร์ Bluetooth ของไมโครชิป ESP32 คำสั่ง Host Controller Interface (HCI) ที่เป็นกรรมสิทธิ์เหล่านี้ รวมถึงคำสั่งหนึ่งที่ระบุว่าเป็น Opcode 0x3F ช่วยให้สามารถควบคุมฟังก์ชัน Bluetooth ในระดับต่ำได้ และไม่ได้มีการเปิดเผยเอกสารต่อสาธารณะโดยผู้ผลิต นักวิจัยได้นำเสนอผลการค้นพบของพวกเขาที่งาน RootedCON ในมาดริด โดยเน้นย้ำว่าคำสั่งเหล่านี้อาจถูกนำไปใช้เพื่ออ่านและแก้ไขหน่วยความจำในตัวควบคุม ESP32 ได้อย่างไร
ขอบเขตของผลกระทบ
ไมโครชิป ESP32 ผลิตโดยบริษัทจีน Espressif เป็นหนึ่งในชิ้นส่วนที่ใช้กันอย่างแพร่หลายที่สุดในโลกสำหรับการเชื่อมต่อ WiFi และ Bluetooth ในอุปกรณ์ IoT ความนิยมของมันส่วนหนึ่งมาจากราคาที่ไม่แพง โดยมีราคาเพียงประมาณ 2 ดอลลาร์สหรัฐบนแพลตฟอร์มอีคอมเมิร์ซ ตามข้อมูลของ Espressif ชิปนี้มีอยู่ในอุปกรณ์มากกว่าพันล้านเครื่องทั่วโลก รวมถึงสมาร์ทโฟน กุญแจอัจฉริยะ ลำโพง และแม้แต่อุปกรณ์ทางการแพทย์ ทำให้ผลกระทบที่อาจเกิดขึ้นจากปัญหาด้านความปลอดภัยใดๆ มีความสำคัญอย่างมาก
รายละเอียดไมโครชิป ESP32:
- ผู้ผลิต: Espressif (บริษัทสัญชาติจีน)
- การใช้งาน: พบในอุปกรณ์มากกว่า 1 พันล้านเครื่องทั่วโลก
- ประเภทอุปกรณ์: สมาร์ทโฟน, คอมพิวเตอร์, กุญแจอัจฉริยะ, อุปกรณ์ทางการแพทย์, ลำโพง
- ราคา: ถูกที่สุดเพียง 2 ดอลลาร์บนแพลตฟอร์มอีคอมเมิร์ซ
- หน้าที่: ให้การเชื่อมต่อ WiFi และ Bluetooth สำหรับอุปกรณ์ IoT
ความสามารถและความเสี่ยง
คำสั่งที่ไม่ได้เปิดเผยเอกสารที่นักวิจัยค้นพบอาจอนุญาตให้มีการดำเนินการต่างๆ เช่น การอ่านและเขียนไปยัง RAM และหน่วยความจำแฟลช การปลอมแปลงที่อยู่ MAC เพื่อแอบอ้างเป็นอุปกรณ์อื่น และการแทรกแพ็คเก็ต LMP/LLCP ในขณะที่ฟังก์ชันเหล่านี้ไม่ได้มีเจตนาร้ายโดยตรงและน่าจะถูกรวมไว้เพื่อวัตถุประสงค์ในการดีบั๊ก แต่อาจถูกนำไปใช้ในทางที่ผิดโดยผู้โจมตีที่ได้เข้าถึงอุปกรณ์แล้ว สิ่งนี้อาจทำให้เกิดการโจมตีด้วยการปลอมแปลงตัวตน การหลีกเลี่ยงการตรวจสอบความปลอดภัย หรือการเปลี่ยนแปลงพฤติกรรมของอุปกรณ์อย่างถาวร
คำสั่งซ่อนเร้นที่ถูกค้นพบ:
- คำสั่งเฉพาะของผู้ผลิต 29 รายการรวมถึง Opcode 0x3F
- ความสามารถ: อ่าน/เขียนหน่วยความจำ RAM และ Flash, การปลอมแปลงที่อยู่ MAC, การแทรกแซงแพ็คเก็ต LMP/LLCP
- รุ่นที่ได้รับผลกระทบ: เฉพาะชิป ESP32 รุ่นดั้งเดิมเท่านั้น (ไม่มีผลกระทบต่อซีรีส์ ESP32-C, ESP32-S และ ESP32-H)
- ข้อกำหนดในการโจมตี: โดยทั่วไปต้องการการเข้าถึงทางกายภาพหรือเฟิร์มแวร์ที่ถูกบุกรุกแล้ว
ข้อจำกัดในการโจมตี
สิ่งสำคัญที่ควรทราบคือคำสั่งเหล่านี้ไม่สามารถเข้าถึงได้โดยตรงจากระยะไกลโดยไม่มีช่องโหว่เพิ่มเติม Espressif ได้ชี้แจงว่าคำสั่งเหล่านี้ไม่สามารถถูกกระตุ้นผ่าน Bluetooth สัญญาณวิทยุ หรือผ่านอินเทอร์เน็ตได้ ซึ่งหมายความว่าพวกมันไม่ก่อให้เกิดความเสี่ยงต่อการถูกโจมตีจากระยะไกลด้วยตัวเอง สถานการณ์การโจมตีที่เป็นไปได้มากที่สุดน่าจะเกี่ยวข้องกับการเข้าถึงทางกายภาพไปยังอินเทอร์เฟซ USB หรือ UART ของอุปกรณ์ หรือเฟิร์มแวร์ที่ถูกบุกรุกแล้ว นอกจากนี้ Espressif ยังระบุว่าหาก ESP32 ถูกใช้ในแอปพลิเคชันแบบสแตนด์อโลนที่ไม่ได้เชื่อมต่อกับชิปโฮสต์ที่รัน BLE host คำสั่งเหล่านี้จะไม่ถูกเปิดเผยและไม่ก่อให้เกิดภัยคุกคามด้านความปลอดภัย
การตอบสนองของผู้ผลิต
ในการตอบสนองต่อผลการค้นพบ Espressif ได้เผยแพร่คำอธิบายเพื่อแก้ไขข้อกังวล บริษัทเน้นย้ำว่าสิ่งเหล่านี้ไม่ใช่ช่องหลังแต่เป็นอินเทอร์เฟซสำหรับการดีบั๊กที่จัดเตรียมโดย IP พวกเขาชี้แจงว่าการมีคำสั่งส่วนตัวเช่นนี้ไม่ใช่แนวปฏิบัติที่ไม่ธรรมดาในอุตสาหกรรม แม้จะยืนยันว่าคำสั่งเหล่านี้ไม่ก่อให้เกิดความเสี่ยงด้านความปลอดภัยด้วยตัวเอง แต่ Espressif ก็มุ่งมั่นที่จะจัดเตรียมการแก้ไขซอฟต์แวร์เพื่อลบคำสั่งที่ไม่ได้เปิดเผยเอกสารเหล่านี้ บริษัทยังระบุด้วยว่ามีเพียงชิป ESP32 รุ่นดั้งเดิมเท่านั้นที่ได้รับผลกระทบ ไม่ใช่ซีรีส์ ESP32-C, ESP32-S และ ESP32-H
เครื่องมือวิจัยและนัยสำคัญ
เพื่อวิเคราะห์และเปิดเผยคำสั่งซ่อนเร้นเหล่านี้ Tarlogic ได้พัฒนาไดรเวอร์ Bluetooth USB ใหม่ที่ใช้ภาษา C เรียกว่า BluetoothUSB เครื่องมือนี้ให้การเข้าถึงการจราจรของ Bluetooth ที่เป็นอิสระจากฮาร์ดแวร์และข้ามแพลตฟอร์ม ช่วยให้สามารถตรวจสอบความปลอดภัยของอุปกรณ์ Bluetooth อย่างครอบคลุมโดยไม่ต้องพึ่งพา API เฉพาะของระบบปฏิบัติการ สิ่งนี้แก้ไขช่องว่างที่สำคัญในเครื่องมือทดสอบความปลอดภัยในปัจจุบัน ซึ่งมักต้องใช้ฮาร์ดแวร์เฉพาะทางและถูกจำกัดโดยการพึ่งพาระบบปฏิบัติการเฉพาะ
ข้อพิจารณาด้านความปลอดภัยในอนาคต
การค้นพบนี้เน้นย้ำถึงความสำคัญของความโปร่งใสในส่วนประกอบของฮาร์ดแวร์ โดยเฉพาะอย่างยิ่งที่ใช้ในอุปกรณ์นับพันล้านเครื่องทั่วโลก แม้ว่านักวิจัยจะใช้คำว่าช่องหลังเพื่ออธิบายสิ่งที่พวกเขาค้นพบในตอนแรก พวกเขาได้ชี้แจงในภายหลังว่าคำสั่ง HCI ที่เป็นกรรมสิทธิ์เหล่านี้อาจถือว่าเป็นคุณลักษณะที่ซ่อนอยู่มากกว่า อย่างไรก็ตาม การมีฟังก์ชันที่ไม่ได้เปิดเผยเอกสารในส่วนประกอบฮาร์ดแวร์ที่ใช้กันอย่างแพร่หลายก่อให้เกิดคำถามสำคัญเกี่ยวกับความปลอดภัยของห่วงโซ่อุปทานและความเป็นไปได้ในการนำไปใช้ในทางที่ผิดในแอปพลิเคชันที่มีความอ่อนไหว