wack0/bitlocker-attacksBitLocker에 대한 공개 공격 목록
TPM에만 VMK가 봉인(seal)된 BitLocker에 대한 공개 공격 목록입니다. 정확한 방법이 아직 공개되지 않은 공개 공격(예: baton drop)은 범위에서 제외됩니다.
대부분의 공격은 VMK가 TPM에만 봉인되는 경우를 대상으로 합니다. 이는 기본 설정이며, 자동 BitLocker가 Microsoft 계정에 복구 키를 에스크로(escrow)하는 것과 함께 사용하는 방식입니다.
기본적으로 Windows 8부터 Secure Boot가 활성화된 경우 Secure Boot 무결성 검증이 사용됩니다.
VMK를 TPM에만 봉인해야 한다면, 가장 안전한 구성은 PCR 0, 2, 4, 7, 11과 함께 레거시 무결성 검증을 사용하는 것입니다(그리고 시스템을 완전히 최신 상태로 유지하는 것도 중요합니다).
이것은 소프트웨어 공격으로부터만 보호한다는 점에 유의하십시오.
하드웨어 공격은 일반적으로 공격자가 VMK가 TPM에만 봉인된 시스템에 물리적으로 접근할 수 있을 때만 유용합니다.
| 요약 | 설명 | 수정 | 공개 공개 시점 | 발견자 |
|---|---|---|---|---|
| TPM 스니핑: bootmgr가 TPM과 평문으로 통신 | Windows Boot Manager가 TPM과 평문으로 통신하므로, LPC 버스의 별도 TPM 칩(즉, fTPM 또는 "Pluton"/HSP가 아닌 경우)을 사용한다면 해당 버스의 로직 애널라이저로 VMK를 덤프할 수 있습니다. 참고: Pulse Security 블로그 게시물, LPC 스니퍼 Verilog 코드. | 없음, 단 펌웨어 TPM은 애초에 취약하지 않음 | 2019년 1월 | marcan |
| 하드웨어 디버거: 일부 시스템은 하드웨어 디버거를 활성화하기 전에 PCR7에 측정(measure)하지 않음 | TCG EFI Platform Specification for TPM (섹션 6.4)에는 다음 내용이 포함되어 있습니다: "플랫폼이 UEFI 환경 이전에 사용될 수 있는 펌웨어 디버거 모드를 제공하거나, 플랫폼이 UEFI 환경용 디버거를 제공하는 경우, 플랫폼은 디버거 사용을 허용하기 전에 EV_EFI_ACTION 이벤트를 PCR[7]로 확장(extend)해야 한다" 일부 시스템은 일부 하드웨어 디버거(예: Intel DCI)를 활성화하기 전에 이 측정을 수행하지 않습니다. 따라서 이러한 취약한 시스템에서는 Secure Boot 우회(물리적 접근이 있다면 Secure Boot가 여전히 활성화된 상태에서 최소 두 가지 방법이 가능함) 또는 하드웨어 공격(SPI 플래시에 직접 쓰기)을 통해 하드웨어 디버거를 활성화할 수 있습니다. 그런 다음 bootmgr!FvebUnsealCallback 내부에 (예를 들어) 중단점을 설정하여 VMK를 덤프할 수 있습니다. 참고: Digital Forensics Research Conference Europe 2023의 이 기사. | 취약한 시스템의 경우 없음. 취약한 시스템의 정확한 목록은 알려져 있지 않음. | 2023년 3월 | 브라질 연방경찰 |
| fTPM 글리칭(glitching): 글리칭을 통한 코드 실행으로 fTPM 상태 전체를 손상 | fTPM을 구현하는 온-SoC 프로세서/마이크로컨트롤러가 부팅 초기에 코드 실행을 얻을 수 있을 정도로 글리칭에 취약한 경우, fTPM 상태 전체가 손상되어 VMK 덤프 등이 가능해집니다. 참고: 연구 논문, AMD PSP용 페이로드 등 | IntelME: 2021년 11월 / Alder Lake AMD: 알 수 없음, 없음? 기타(ARM64, ARMv7 등): 알 수 없음 | 2023년 4월 | Technische Universit ät Berlin - SecT의 Hans Niklas Jacob, Christian Werling, Robert Buhren, Jean-Pierre Seifert |
| 부팅 시 IOMMU 비활성화: 플래시 덤프/재기록으로 UEFI 비휘발성 변수 저장소를 수정하여 부팅 시 IOMMU를 비활성화 | 일부 UEFI 펌웨어는 변수 데이터에 따라 부팅 시 IOMMU를 활성화하지 않습니다. 플래시를 덤프하고 해당 변수를 수정한 후 재기록하면, TPM 비휘발성 상태가 여전히 유효한 상태에서 부팅 시 IOMMU가 비활성화됩니다. 이 시점에서 공격자는 bootmgr가 시작되기 전에 PCI DMA를 사용하여 DMAR ACPI 테이블을 덮어쓴 다음, 안전 모드로 부팅하고 PCI DMA를 다시 사용하여 SYSTEM 셸을 얻을 수 있습니다. 라이팅(writeup) 참조. 이것이 어떤 구성 요소에 해당하는지는 알 수 없습니다. 해당 라이팅은 Intel 시스템을 사용하며, 관련 코드는 Intel Firmware Support Package에서 제공됩니다. AMD 버전(AGESA/CBS)도 영향을 받는지는 알 수 없습니다. | Intel Firmware Support Package: 알 수 없음 AMD AGESA/CBS: 알 수 없음 | 2026년 3월 | MDSec의 Craig S. Blackie |
소프트웨어 공격은 일반적으로 bootmgr 또는 다른 부팅 애플리케이션의 취약점으로, 임의 볼륨에 대해 파생된 BitLocker 키가 메모리에 있을 때 악용이 가능합니다.
부팅 애플리케이션 내에서 코드 실행을 얻을 수 있다면, "evil cleaner" 공격자가 파생된 키가 메모리에 있는 상태에서(또는 키를 여전히 파생할 수 있을 때) 실행되는 부트킷을 설치할 수 있으며, 따라서 TPM 대신 또는 TPM에 추가로 암호나 시작 키를 사용하는 시스템을 손상시킬 수 있습니다.
