新型攻擊方式可通過硬盤燈突破物理隔離

近年來，隨著國內外竊密斗爭形勢的日益復雜，物理隔離網絡逐漸成為重要攻擊目標，出現了許多突破物理隔離的方式。近日，以色列本古里安大學網絡安全研究中心公布了一種突破物理隔離的新方法，主要利用的是當前大多數計算機和服務器上都有的硬盤燈（HDDLED）。該攻擊方式通過一臺感染了惡意軟件的計算機上的硬盤燈來發送機器內敏感數據，然后通過攝像機、光傳感器等接收信息。

一、攻擊過程

該攻擊過程主要分為惡意軟件植入、數據發送、數據接收三個階段。一是惡意軟件植入。主要通過供應鏈攻擊（在目標設備運輸過程中安裝惡意軟件）、社會工程學攻擊通過心理操縱來誘導攻擊目標實施某種行為，如在公共社交網站上獲得某涉密人員信任，而后誘使其在所在物理隔離網絡中安裝惡意軟件）等，使目標計算機、服務器等感染相應的惡意軟件。惡意軟件隨后便可在目標計算機中

收集敏感信息（如涉密文檔等）。二是數據發送。由于技術限制，惡意軟件不能通過主板芯片組直接打開硬盤燈，而是通過調用特定的讀（寫）命令，間接打開硬盤燈，從而利用硬盤燈的打開、關閉狀態來分別表示“1”“0”，將竊取到的文件數據等以二進制形式發送出去。三是數據接收。主要通過內部隱蔽攝像頭、惡意入侵人員隨身攜帶的攝像機、涉密場所遭入侵的監控攝像頭等內部接收裝置，以及高分辨率遠程攝像機、無人機載攝像機、光學傳感器等遠程接收裝置進行數據接收。接收距離主要受接收者位置、環境亮度、硬盤燈光波長等影響，一般大于30米，事實上，只要接收者在硬盤燈發送光信號的可視范圍內，輔以光學變焦透鏡等裝置，接收距離甚至可以更遠。

二、主要特點

該攻擊方式主要具有以下三大特點。一是隱蔽性。對于其他使用光學方式（如鍵盤燈和屏幕電源燈）突破物理隔離的方法，由于其異常情況可輕易被觀察到，因此并不隱蔽。在該攻擊方式中，由于硬盤燈在正常工作狀態（讀/寫文件）下就頻繁閃動，因此閃動時間和速度的受控變化可能不會引起特別關注。此外在高速傳輸情況下，硬盤燈的閃爍對于人眼來說是不可見的，這使得該竊密通道更加隱蔽。二是便利性。該攻擊方式無需其他任何特殊硬件，只需一個帶有硬盤燈的機器，而硬盤燈在當今大多數桌面計算機、筆記本電腦和服務器上都普遍存在。此外，激活硬盤燈通過普通的用戶級代碼（惡意軟件）即可實現，并不需要改動操作系統內核。三是高速性。在該攻擊方式中，信息傳輸速率最高時可達每秒4000比特，比其他利用光學方式突破物理隔離技術的速度至少快10倍，因此可以更快地傳送數據。例如，對于4096比特的加密密鑰傳送，一般可在數十秒內完成。

三、應對措施

針對上述攻擊方面，建議從以下三個方面加強防范。一是防止惡意軟件植入。強化計算機所在環境的防護，加強內部網絡設備供應鏈的安全保密管理，同時開展相應突破物理隔離惡意軟件的檢測技術研究。二是防止敏感數據通過光信號發送。適時斷開硬盤燈與計算機的連接，或用黑色磁帶覆蓋硬盤燈。此外，還可引入對硬盤的隨機讀寫操作，使得光信號與隨機噪聲混合，通過干擾降低攻擊的有效性。三是防止外部光接收設備竊取信息。在計算機所在環境內禁用所有攝像裝置，并采用遮蔽窗戶方式防止外部光探測器竊取涉密信息。定期檢查場所內的監控攝像頭，防止其被用作接收信息的工具。

（原載于《保密科學技術》雜志2017年8月刊）