A luz que fala: como ler dados de um indicador piscando
O desafio
O vigia noturno de um depósito da Rhodes Logistics vinha notando a luz de status de um controlador de acesso de parede piscando depois do expediente, sempre por uns quarenta segundos, sempre mais ou menos no mesmo horário. O aparelho não tem conexão de rede nem tela, que é justamente o motivo de ter sido escolhido para a porta que ele comanda. A segurança filmou um dos episódios e um técnico anotou as piscadas: flash curto, flash longo, pausa. A transcrição está abaixo. Alguém está lendo isso do estacionamento.
O que você vai aprender
- Reconhecer Morse pelo formato de uma transcrição
- Explicar o que é um canal encoberto e por que um LED de status é um
- Descrever como um air gap é contornado sem nenhuma rede
- Nomear as saídas do dia a dia que podem levar dados para fora de um dispositivo isolado
Habilidades testadas
Pré-requisitos
- Nenhum
Como funciona
Um canal encoberto é qualquer forma de mover informação que quem construiu o sistema nunca considerou como uma forma de mover informação. Ele não precisa de largura de banda. Quatro dígitos são um código de porta, um PIN, ou o primeiro bloco de uma chave, e quarenta segundos é mais que suficiente.
O air gap parte do pressuposto de que a ameaça viaja pela rede, então ele remove a rede. O que ele não remove é tudo o mais que o dispositivo ainda consegue variar: um LED indicador, uma ventoinha que pode ser feita para girar em velocidades escolhidas, uma bobina que apita em uma frequência escolhida, uma tela cujo brilho pode ser modulado. Um dispositivo comprometido que consegue mudar qualquer uma dessas coisas sob comando, com uma câmera ou um microfone na linha de visão, tem uma saída.
Morse é o que se espera que um implante de baixo esforço use. São dois símbolos, sobrevive a um canal de observação lento ou ruidoso, e todo decodificador do mundo já o entende. Reconhecer o formato é toda a habilidade: pontos e traços, letras separadas por um espaço, palavras separadas por um separador.
Erros comuns
- Tentar base64 ou hex primeiro. Nenhum dos dois tem pontos ou traços em seu alfabeto, e ambos retornam um marcador de erro na hora. A entrada já diz o que ela é.
- Enviar a frase decodificada inteira. O rótulo da resposta pede o número, que é a parte que tem valor para quem está observando.
- Descartar a técnica porque o dispositivo não tem rede. Esse é justamente o ponto da técnica, não um argumento contra ela.
Como se proteger
Trate emissões físicas como uma interface.
- Elimine a linha de visão. Um dispositivo isolado deve ficar onde nenhuma câmera, janela ou superfície reflexiva possa observar seu painel frontal, e câmeras que cobrem a mesma sala não devem estar em uma rede que um atacante consiga alcançar.
- Cubra ou desative LEDs indicadores em equipamentos que lidam com segredos. Fita adesiva é um controle legítimo aqui e não custa nada.
- Assine o firmware e verifique-o na inicialização. Uma luz de status só transmite quando algo em execução quer que ela transmita.
- Troque tudo o que um dispositivo possa ter vazado assim que houver motivo para acreditar que ele foi comprometido, começando pelos códigos de porta que pessoas memorizaram anos atrás.