Bilgisayar fanınız verilerinizi mi sızdırıyor?

İnternet bağlantınızı kestiğinizde gerçekten veri sızıntısına karşı güvende olduğunuzu mu sanıyorsunuz? Sonuçta, bağlantı yoksa verilerin çıkıp gidebileceği bir yer de yok değil mi?

Kısa cevap: Hayır, güvende olmayabilirsiniz.

Kısa cevapla yetinmeyen, meraklı dostlarım, gelin konuyu kapsamlı inceleyelim.

Siber güvenlik terimleriyle, veri sızdırılmaması için dış dünyadan izole edilmiş sistemlere air-gapped (hava boşluklu) sistemler denir. Bu işlem, sistemin dış ağlarla fiziksel ve mantıksal bağlantısını tamamen keserek saldırı yüzeyini minimuma indirmeyi amaçlar. Bu tarz sistemler; nükleer tesis, ordu üsleri, SCADA sistemleri gibi üst düzey güvenlik gerektiren alanlarda kullanılır.

Tabii sadece interneti keserek güvenlik sağlamaya çalışmak yetmez, hedef cihazın ses sistemi kullanılarak verileri çalmak da bir yöntemdi. Bu yöntemde ultrasound dalgalar kullanılarak duyulamayacak şekilde bile veri kaçırılabiliyordu. Bunun için air-gapped sistemlerin hoparlör ve mikrofon gibi Giriş/Çıkış aygıtlarını sökerek “audio-gapped” de denen bir farkındalık oluştu ve her veri sızıntısı yöntemi kapatılmaya çalışıldı.

Pek tabii güvenlik araştırmacıları sağ olsun, her sistemde olduğu gibi, bunun da asla %100 güvenilir bir sistem olmadığını kanıtladılar. Bu sistemlerde veri sızdırmanın en basit yöntemlerinden bir tanesi, hedef sisteme bir USB bellek aracılığıyla bağlanıp verileri çıkarmaktır. (*bkz. Stuxnet*) Bu yazımda bu yöntemden farklı olarak, göz ardı edilen bir zayıf noktaya dikkat çekeceğim: Fiziksel Çevre ve Ses

Peki ama herhangi bir ses çıkışı olmayan cihazdan nasıl ses ile veri çıkarılır ki?

Bu konu hakkında Ben-Gurion Üniversitesi’nde yapılan çalışmalar sonucu 2 metot ortaya atıldı: Hard diskinizin dosya arama işlemleri sırasında çıkardığı sesleri kullanan DiskFiltration ve cihazın fan çalışma hızını kontrol edip veri kaçıran Fansmitter.

DiskFiltration

Adından da anlaşılabileceği üzere bu yöntem, kullanmakta olduğunuz HDD (Hard Disk Drive) veya SSHD (Solid State Hybrid Drive) disklerinin okuma/yazma kollarının, “aktüatör” isimli mekanik bileşeninin çıkardığı sesleri kullanan bir veri sızdırma yöntemidir.

Bu yöntemde sisteme sızmış olan zararlı yazılım, sızdırılacak veriyi binary olarak şifreler. Ardından disk üzerinde belirli bir veriyi arar gibi yapan “seek operation” denen disk emirlerini belirli bir ritim ile yollar. Emirlerin ulaştığı disk, sözde aranan veriyi bulmak için mekanik kolunu hareket ettirir, işte tam bu kolun hareket anında belirli frekansta bir ses oluşur. Zararlı yazılım aynı şekilde farklı bir ritim kullanarak başka bir arama emri yollar. Bu ise farklı bir frekansta ses çıkartır. İşte üretilmiş olan bu 2 frekans, aslında sızdırmak istediğimiz, binary şifrelediğimiz veriyi kaçıracak olan 0 ve 1 frekanslarıdır.

Bu aşamaya ulaştıktan sonrası oldukça basit, 0–1 ile şifrelenmiş olan veriyi belirlediğimiz frekanslara göre hard diskten çıkarttırmak. İşte bu aşamada, aslında şifrelenmiş olması gereken bilgileri bağıran, fakat bizim algılayamadığımız bir frekans dizisi cihazdan akmaya başlar. Tam bu noktada “dinleyici” bir cihaza ihtiyacımız var, mikrofonu olan herhangi bir cihaz (akıllı saat, laptop, telefon) olabilir. Bu cihazın mikrofonu bu frekansları dinler, sinyal işleme algoritmaları ile binary dizi elde edilir ve dijital veriye döndürülmüş olunur.

Potansiyel veri sizdirabilecek A cihazi, Potansiyel dinleyici B ve C cihazlari

DiskFiltration yöntemiyle yaklaşık olarak dakikada 180 bit, 2 metre mesafeye kadar aktarılabilir. Her ne kadar aşırı yavaş bir yöntem gibi gözükse de, bu yöntem üst düzey güvenlikli sistemlerden veri sızdırabilmenin bir yoludur.

Bu bilim kurgu filmlerinden fırlamış gibi duran yönteme karşı alınabilecek önlemler pek tabii bulunur:

1- SSD kullanmak: Sadece hız için değil, DiskFiltration’a karşı da SSD kullanmak mantıklıdır. SSD’lerde hareket eden bir disk okuyucu kafa bulunmaz, veriye ulaşmak için herhangi bir ses üretici hareket olmaz. Ses üretici hareket yoksa frekanslar ile veri de sızmaz.

SSD’ye geçmek mümkün değilse daha sessiz türde bulunan HDD’lere geçmek de yayılan sesi düşürmeye yardımcı olabilir ama yine de belirli mesafede o ses yayılır.

2- Kontrol Programları: Bazı HDD’lerde “seek” gibi operasyonlar için hızı rastgeleleştiren programlar bulunur, zararlı yazılımın firmware’e (aygıt yazılımına) sızıp bunu kapatması muhtemeldir. Başka bir çözüm yolu olarak HIDS (Ana-bilgisayar Tabanlı Saldırı Tespit Sistemi) gibi sistemler kullanılıp şüpheli olabilecek disk operasyonları tespit edilebilir. Yine bu sistemler de zararlı yazılımlar ve kernel level rootkitler ile aşılabilir.

3- Fiziksel Önlemler: Air-gapped sistemlerin bulunduğu yerlere erişecek kişilerin dikkatli seçilmesi, belirli elektronik ekipmanların bulundurulmasının yasaklanması. Sistemlerin birbirinden ve diğer cihazlardan ayrı konumlandırılması gibi önlemler alınabilir.

Fansmitter

Harika, diskin cızırtıları ile verilerimizi sızdırdık. Peki daha neler yapabiliriz? Mesela bir işlemci fanı, sonuç olarak o da bir ses çıkarıyor değil mi?

Tabii ki ve iş fan sesinden veri almaya gelince birkaç kritik detay değişiyor. Öncelikle artık hedef cihaz listemiz çok daha büyük. DiskFiltration’ın aksine artık bir depolama aygıtına ihtiyacımız yok. Diğer birimlerle haberleşen , PWM (Pulse Width Modulation) destekli bir fan olması yeterli! Bu durum sonucunda hedef alınan cihazlar sunucular, kişisel bilgisayarlar, yazıcılar, endüstriyel sistemler ve IoT cihazlarını kapsamaya başlıyor.

Hedef A cihazi ve Dinleyici B cihazi

Hedef listesi büyümesine rağmen bir zayıflığı da var, fan ile veri iletmek disk ile iletmeye kıyasla çok daha yavaş. Bu da zaten yavaş olan bir işlemin daha da yavaşlaması demek. DiskFiltration’da 180 bit/dakikayı bulan süre, Fansmitter’da 15 bit/dakika kadar olabilir. Öyle ki basit bir şifreyi aktarmak saatleri hatta günleri bulabilir.

Bu yönteme baktığımızda, DiskFiltration’a benzer yönlerini görebiliyoruz. İletilen sinyalin bir alıcı tarafından alınması gerekmesi, verilerin binary şifrelenmesi ve belirli frekansta ses dalgaları olarak aktarılması.

Sistem birebir aynı şekilde işliyor. Zararlı yazılım, hedef bilgisayardan aldığı değerli veriyi binary olarak şifreliyor. Fan hızını belirli ritmik frekanslara ayarlayıp yine binary olacak şekilde iletiyor. Dışarıda bulunan ve ele geçirilmiş, mikrofona sahip bir cihaz bunları dinliyor, sinyal çözücü modül ile 0 ve 1'lere çeviriyor, ardından binary bilgi tekrardan değerli veriye döndürülüyor.

Peki ya ne tür fanlar bilgisayarda bulunur? Neler böyle bir sızıntı için kullanılabilir? İnceleyelim:

1- Güç Kaynağı Ünitesi Fanı(Gorsel A): Bilgisayardaki güç kaynağının arkasında bulunan fan, güç ünitesinin ürettiği ısıyı atmak için vardır ve genelde herhangi bir yazılım ile yönetilmez. Genelde risk grubunda değildir.(PWM kontrollu ise risk grubundadir.)

2- Şase Fanı(Gorsel B): Bilgisayarın kasasının yanında veya arka tarafında bulunan fan, genelde dışarıdan oda sıcaklığında havanın alınıp, sıcak havanın atılmasını sağlar.

3- CPU Fanı(Gorsel C): Merkezi İşlem Biriminin fanı, işlemcinin sıcaklığı ilettiği kısmı, dolayısıyla işlemciyi soğutur.

4- Ekran Kartı Fanı: Özellikle ekran kartlarını soğutmak için dizayn edilen ve üretilen fanlar.

5- Diğer fanlar: Optik sürücü, hafıza slotu gibi nadir bulunan fanlar da olabilir. Sunucularda daha sık görünür.

Burada fanların kablolamaları, gelen elektrik sinyalleri ve bu sinyaller ile fanların nasıl kontrol edildiğiyle alakalı kısım, konudan sapılmaması adına incelenmemiştir.

Sonuç olarak air-gapped tamamen güvenli mi?

• Hayır, hiçbir sistem asla tamamen güvenli değildir.

Burada bahsetmiş olduğum yöntemler donanım seviyesinde, oldukça bilim kurguvari gözüken metotlarken, aslında veri güvenliği ve kriptoloji için çok kritik ve üzerine araştırmalar yapılan yöntemler.

Buraya kadar okuyup değerli vaktinizi ayırdığınız için teşekkürler. Ultrasonik ses dalgaları ve ısı aracılığıyla nasıl veri sızdırılabileceğini de merak ediyorsanız pek yakında…

Kaynakca

• https://cris.bgu.ac.il/en/publications/fansmitter-acoustic-data-exfiltration-from-air-gapped-computers-v/
• https://cris.bgu.ac.il/en/publications/acoustic-data-exfiltration-from-speakerless-air-gapped-computers/
• https://www.kaspersky.com.tr/resource-center/definitions/what-is-stuxnet
• https://www.technologyreview.com/2016/06/30/108221/how-fansmitter-malware-steals-data-from-air-gapped-computers/