隔空取物——揭秘网络设备的物理隔离攻击技术

什么是网络设备的物理隔离攻击技术

通常的网络设备(例如交换机和路由器)攻击手段是利用操作系统的安全漏洞或通信协议的安全漏洞，通过互联网注入病毒或木马，造成网络设备信息的泄密或网络瘫痪。然而，这些常规的攻击手段并不适用于物理隔离环境下的局域网网络设备。因此，网络设备的物理隔离攻击技术是利用这些网络设备生产、运输、存储等供应链环节的安全漏洞，拦截正常的网络设备，并在其中植入恶意软硬件，建立隐蔽传输通道，窃取局域网络重要信息或使之瘫痪。如果按照植入方式分类的话，网络设备的物理隔离攻击技术可分为硬件植入攻击、固件植入攻击、芯片植入攻击等。这几类攻击方式在实际应用的时候，还可组合使用。

[[192846]]

图1 网络设备的物理隔离攻击

意想不到的硬件植入攻击

2013年，斯诺登曝光了一组美国国家安全局下属的TAO(特定入侵行动办公室)的物理隔离攻击技术。其中，一种名为“FIREWALK”的硬件植入攻击技术就是针对物理隔离网络进行攻击的。早在2008年，这种硬件植入攻击技术就不仅可以搜集物理隔离环境下的千兆位以太网的网络流量，而且还可以主动地将以太网数据包注入到该千兆位以太网络中，实现网络窃密或网络瘫痪功能。

图2 网络设备的硬件植入攻击

“FIREWALK”是一种双向的网路恶意硬件，该硬件可被植入到一个双堆栈的RJ45/USB连接器中。“FIREWALK”的简易工作原理是利用定制的射频收发机，在物理隔离网络与外部攻击网络之间建立一个意想不到的网络通道。当外部攻击网络发出指令时，“FIREWALK”可通过该通道实现物理隔离网络流量输出和流量注入功能。

难以清除的固件植入攻击

2015年初，斯诺登又披露了以搜集他国通讯情报为目标的美国国家安全局的SIGINT行动组也采用类似的方式攻破物理隔离网络的安全防线。工作过程是：拦截发送到目标地区的计算机网络设备(服务器、路由器、交换机等)装运，然后在TAO(特定入侵行动办公室)情报人员和技术人员的协助下，对这些计算机网络设备植入修改后的固件程序，最后重新打包发送到目标地区。

[[192848]]

图3网络设备的固件植入

通过固件植入攻击技术，美方控制了叙利亚电信设施GSM骨干网上的一台交换机，详尽挖掘该交换机所在的网段的网络信息，并利用该交换机的漏洞进一步获取目标对象的通话语音内容。由于固件程序的特点，这种攻击手段是不易被觉察和清除的，即使重新启动网络设备也无济于事。

潜在威胁的芯片植入攻击

近几年，被称为硬件木马(Hardware Trojan)的芯片植入攻击技术正处于研究中。该技术直接将恶意电路集成在目标设备使用的芯片中，实现敏感信息的获取。目前，用于网络设备的以太网核心芯片技术主要掌握在国外公司的手里，如果该公司将恶意电路集成在其以太网核心芯片，并将安装该芯片的网络设备出售给国内重要部门，其后果不堪设想。

芯片植入攻击技术最大的特点是，一旦将带有硬件木马的芯片安装到网络设备中，这个硬件木马是永远不会被清除的，而潜在的威胁也是持久的。当前，并没有证据显示芯片植入攻击技术用于物理隔离网络中，但是从目前研究发展来看，用于物理隔离网络的芯片植入攻击技术是完全可行的。

总结

网络设备交换机、路由器在物理隔离网络中发挥着不容忽视的重要作用，其安全性直接关系到物理隔离网络的安全。然而网络设备的物理隔离攻击手段的多样性使得网络设备存在诸多安全隐患，网络信息安全面临着严峻挑战。基于此，信息安全人员应制定合理有效的安全策略，特别是加强线上线下供应链的安全风险评估与防护措施，在物理空间无线信号检测的基础上建立长时监测与防护机制;网络管理人员及时更新设备补丁、有效监控管理网络;普通用户，尤其是军政要害部门、重要企业的从业人员，更要提高安全意识谨防危害网络的行为，各方协同联动为正常运营业务、维护信息资产提供稳定有力的保障。

[[192849]]

【本文为专栏作者“中国保密协会科学技术分会”原创稿件，转载请联系原作者】

戳这里，看该作者更多好文