Aviso
Para a versão 1803 do Windows e versões posteriores, se a sua plataforma suportar a nova funcionalidade Proteção DMA do Kernel , recomendamos que tire partido dessa funcionalidade para mitigar os ataques Thunderbolt DMA. Para versões anteriores do Windows ou plataformas que não possuem o novo recurso Proteção DMA do Kernel , se sua organização permitir protetores somente TPM ou suportar computadores no modo de suspensão, a seguir está uma opção de mitigação DMA. Consulte Contramedidas do BitLocker para compreender o espetro de mitigações.
Além disso, os usuários podem consultar a documentação do Intel Thunderbolt 3 e Segurança no Sistema Operacional Microsoft Windows 10 para obter mitigações alternativas.
A Microsoft fornece informações de contacto de terceiros para o ajudar a obter suporte técnico. Estas informações de contacto poderão ser alteradas sem aviso prévio. A Microsoft não garante o rigor destas informações de contacto de terceiros.
Para obter mais informações sobre como fazer isso, vá para o seguinte site da Microsoft:
Guia passo a passo para controlar a instalação do dispositivo usando Política de Grupo
Sintomas
Um computador protegido por BitLocker pode ser vulnerável a ataques de Acesso Direto à Memória (DMA) quando está ligado ou no estado de energia em Modo de Espera. Isto inclui quando o ambiente de trabalho está bloqueado.
O BitLocker com autenticação apenas TPM permite que um computador entre no estado de ligação sem qualquer autenticação pré-arranque. Portanto, um invasor pode ser capaz de executar ataques DMA.
Nessas configurações, um invasor pode ser capaz de procurar chaves de criptografia BitLocker na memória do sistema falsificando a ID de hardware SBP-2 usando um dispositivo de ataque conectado a uma porta 1394. Como alternativa, uma porta Thunderbolt ativa também fornece acesso à memória do sistema para executar um ataque. Observe que o Thunderbolt 3 no novo conector USB Type-C inclui novos recursos de segurança que podem ser configurados para proteger contra esse tipo de ataque sem desativar a porta.
Este artigo aplica-se a qualquer um dos seguintes sistemas:
- Sistemas que são deixados ligados
- Sistemas que são deixados no estado de energia em Modo de Espera
- Sistemas que utilizam o protetor BitLocker apenas para TPM
Causa
DMA físico 1394
Os controladores 1394 padrão da indústria (em conformidade com OHCI) fornecem funcionalidade que permite o acesso à memória do sistema. Esta funcionalidade é fornecida como uma melhoria de desempenho. Ele permite que grandes quantidades de dados para transferir diretamente entre um dispositivo 1394 e a memória do sistema, ignorando a CPU e o software. Por predefinição, 1394 Physical DMA está desativado em todas as versões do Windows. As seguintes opções estão disponíveis para ativar o DMA físico 1394:
- Um administrador ativa a Depuração do Kernel 1394.
- Alguém que tenha acesso físico ao computador conecta um dispositivo de armazenamento 1394 que esteja em conformidade com a especificação SBP-2.
1394 Ameaças de DMA ao BitLocker
As verificações de integridade do sistema BitLocker mitigam alterações não autorizadas do status de Depuração do Kernel. No entanto, um invasor pode conectar um dispositivo invasor a uma porta 1394 e, em seguida, falsificar uma ID de hardware SBP-2. Quando o Windows detecta um ID de hardware SBP-2, ele carrega o driver SBP-2 (sbp2port.sys) e, em seguida, instrui o driver para permitir que o dispositivo SBP-2 execute DMA. Isto permite que um intruso obtivesse acesso à memória do sistema e procurasse chaves de encriptação BitLocker.
DMA físico Thunderbolt
Thunderbolt é um barramento externo que permite o acesso direto à memória do sistema via PCI. Esta funcionalidade é fornecida como uma melhoria de desempenho. Ele permite que grandes quantidades de dados sejam transferidos diretamente entre um dispositivo Thunderbolt e a memória do sistema, ignorando assim a CPU e o software.
Ameaças Thunderbolt ao BitLocker
Um invasor pode conectar um dispositivo para fins especiais a uma porta Thunderbolt e ter acesso direto total à memória através do barramento PCI Express. Isto pode permitir que um intruso obtivesse acesso à memória do sistema e procurasse chaves de encriptação BitLocker. Note que o Thunderbolt 3 no novo conector USB Type-C inclui novas funcionalidades de segurança que podem ser configuradas para proteger contra este tipo de acesso.
Resolução
Algumas configurações do BitLocker podem reduzir o risco deste tipo de ataque. Os protetores TPM+PIN, TPM+USB e TPM+PIN+USB reduzem o efeito dos ataques DMA quando os computadores não utilizam o modo de suspensão (suspensão na RAM).
Mitigação SBP-2
No site mencionado anteriormente, consulte a seção "Impedir a instalação de drivers correspondentes a essas classes de configuração de dispositivo" em "Política de Grupo Configurações para instalação de dispositivo".
A seguir está o GUID da classe de configuração do dispositivo Plug and Play para uma unidade SBP-2:
d48179be-ec20-11d1-b6b8-00c04fa372a7
Em algumas plataformas, desativar completamente o dispositivo 1394 pode fornecer segurança extra. No site mencionado anteriormente, consulte a secção "Impedir a instalação de dispositivos que correspondam a estes IDs de dispositivo" em "Política de Grupo Definições para a Instalação de Dispositivos".
Segue-se o ID Plug and Play compatível para um comando 1394:
PCI\CC_0C0010
Mitigação de Thunderbolt
A partir do Windows 10 versão 1803, os sistemas baseados em Intel mais recentes incluem proteção DMA integrada do kernel para Thunderbolt 3. Nenhuma configuração é necessária para esta proteção.
Para bloquear um controlador Thunderbolt num dispositivo com uma versão anterior do Windows, ou para plataformas sem proteção DMA de kernel para Thunderbolt 3, consulte a secção "Impedir a instalação de dispositivos que correspondam a estes IDs de dispositivo" em "Política de Grupo Definições para instalação de dispositivos" no site mencionado anteriormente.
O ID compatível Plug and Play para um controlador Thunderbolt é o seguinte:
PCI\CC_0C0A
Notas
- A desvantagem dessa mitigação é que os dispositivos de armazenamento externos não podem mais se conectar usando a porta 1394 e todos os dispositivos PCI Express conectados à porta Thunderbolt não funcionarão.
- Se o hardware se desviar das Diretrizes de Engenharia do Windows atuais, ele pode habilitar o DMA nessas portas depois que você iniciar o computador e antes que o Windows assuma o controle do hardware. Isto deixa o sistema a ficar comprometido e esta condição não é atenuada por esta solução.
- O bloqueio do driver SBP-2 e dos controladores Thunderbolt não protege contra ataques a slots PCI externos ou internos (incluindo M.2, Cardbus & ExpressCard).
Mais Informações
Para obter mais informações sobre ameaças DMA ao BitLocker, consulte o seguinte blog de Segurança da Microsoft:
Declarações do Windows BitLocker Para obter mais informações sobre mitigações para ataques frios contra o BitLocker, consulte o seguinte blog da Equipe de Integridade da Microsoft:
Protegendo o BitLocker contra ataques a frio
Os produtos de terceiros que este artigo aborda são fabricados por empresas que são independentes da Microsoft. A Microsoft não estabelece garantias, implícitas ou de outro tipo, relativamente ao desempenho ou fiabilidade destes produtos.