А. Белоус - Кибероружие и кибербезопасность. О сложных вещах простыми словами

Более детальный анализ этих «зловредов» приведен в уже в многократно цитируемой нашей книге — технической энциклопедии «Программные и аппаратные трояны — способы внедрения и методы противодействия». Здесь же рассмотрены только наиболее важные с точки зрения кибербезопасности направления. Это трояны в RFID — радиочастотных микросхемах (метках) типа EPCCIG2, в беспроводных криптографических микросхемах, в трехмерных интегральных микросхемах (3D). Даны основные положения современной технологии контроля безопасности в микроэлектронике, рассмотрены и основные алгоритмы внедрения заряженных троянами микросхем в объекты кибердиверсий. Особое внимание в этой главе мы уделили микросхемам пассивных меток по той причине, что в последние годы использование меток EPC C1G2 значительно возросло. Эта технология используется в таких популярных приложениях. как контроль доступа в здания (системы идентификации личности, электронные пропуска), сбор оплаты за услуги, идентификация людей и животных. Вредоносные схемы в таких устройствах могут действовать, как бомба с временной задержкой, которая может быть активированна в любой момент для нейтрализации любой системы на основе RFID. Аппаратные трояны являются вредоносными аппаратными компонентами, встроенными нарушителями в кристалл микросхемы для того, чтобы блокировать пли разрушить систему в какой-то будущий момент времени, или для того, чтобы организовать постоянную утечку конфиденциальной информации. Такая вредоносная схема может быть большой угрозой для правительственных, коммерческих, финансовых или военных учреждений. Аппаратные трояны характеризуются запуском (т. е. механизмом, который активирует схему), полезной нагрузкой (т. е. действием схемы) и фазой вставки (в какой момент изготовления ИС в нее устанавливается дополнительная функция).

На примере криптографической микросхемы в этой главе мы рассмотрим такие аппаратные трояны, цель полезной нагрузки которых заключается в организации утечки секретной информации (например, ключа шифрования) по беспроводному каналу таким образом. чтобы атакующий (злоумышленник) смог без проблем оперативно расшифровать кодированную передачу данных. Практическая ценность подобных аппаратных троянов заключается в том. что атакующий может прослушивать только общедоступные беспроводные каналы, но он не имеет возможности управлять ими. Конечно, надо понимать, что в этом случае трояны уже являются активными. При этом, эти аппаратные трояны контролируют как всю систему, которая содержит секретную информацию, так и конкретную ее подсистему, которая контролирует процесс беспроводной передачи, и они синхронно манипулируют только параметрическим пространством. не нарушая какой-либо функциональной спецификации микросхемы. Покажем, что для цифровых криптографических микросхем были разработаны различными злоумышленниками похожие аппаратные трояны, нацеленные на организацию утечки секретных ключей через специальные побочные каналы.

Атаки аппаратных троянов на беспроводные ПС представляют реальную угрозу, они могут взламывать приложения, где используются такие кристаллы. Хотя такие аппаратные трояны открыто передают секретную информацию, такую как ключ шифрования, через дополнительную структуру, которая тщательно спрятана в пределах легитимной передачи данных, обычное производственное тестирование и существующие методы обнаружения аппаратных троянов не в состоянии их обнаружить. Даже если эта добавленная структура известна только атакующему, её явное наличие дает основание методу обнаружения аппаратного трояна, который был в частности применен к криптографическим ИС. В этой главе мы покажем, как статистический анализ различных параметров передачи данных для беспроводной криптографической ПС может эффективно обнаруживать кристаллы, которые создают утечку дополнительной информации.

Несколько разделов этой главы посвящены методам обнаружения аппаратных троянов в коммерческих и военных микросхемах. Показано, что практически все известные методы обнаружения аппаратных троянов подразумевают наличие эталонной модели. Для существующих методов обнаружения троянов в основном требуются два вида эталонных моделей: эталонный проект или эталонная ПС. Эталонные проекты, как правило, требуются для методов обнаружения троянов до реализации в кремнии для валидации уровня регистровых передач списка связей IP-ядра или проектов ПС типа SoC. Для верификации и проверки подлинности IP-ядра сторонних производителей требуется некий эталон их функций или характеристик. Кроме того, часть методов обнаружения троянов после реализации в кремнии требует наличия эталонных проектов (на уровне логических элементов или топологии). В России наиболее часто используется метод разрушающего обратного проектирования, который подразумевает наличие эталонного списка связей или топологического чертежа для сравнения. При функциональном тестировании также требуются эталонные проекты для генерации тестовых шаблонов и определения правильности ответов.

В восьмой главе рассмотрены наиболее опасные компьютерные вирусы, программные трояны и шпионские программы, модели воздействия на компьютеры программных троянов, способы внедрения и механизмы их взаимодействия с атакующим субъектом — хакером, злоумышленником, агентом спецслужб.

В рамках самостоятельных разделов здесь подробно рассмотрены программные клавиатурные шпионы, принцип функционирования RootKit-технологпп, cookies, шпионская программа Regin. приведены конкретные примеры внедрения трояна в стандартный PE-файл системы Microsoft Windows.

Так в разделе, посвященном вирусам, подробно рассмотрены компьютерные вирусы, приведены наиболее распространенные термины и определения.

Так, компьютерный вирус — это специально написанная, как правило, небольшая по размерам программа, которая может записывать (внедрять) свои копни (возможно, измененные) в компьютерные программы, расположенные в исполнимых файлах, системных областях дисков, драйверах, документах и т. д., причем эти копии сохраняют возможность к «размножению».

Процесс внедрения подобным вирусом своей копии в другую программу (файл, системную область диска и т. д.) называется заражением, а сама программа или конкретный объект, содержащий вирус — зараженным.

Показано, что обязательным свойством любого компьютерного вируса является его способность к размножению (самокопированию) и незаметному для пользователя внедрению в файлы, загрузочные секторы компьютерных дисков и цифровые документы. Слово «Вирус» по отношению к компьютерным программам пришло из биологии именно по признаку его способности к автоматическому размножению (саморазмножению).