>> non per essere catastrofico, ma anche le VM possono dare false
>> speranze.
>> basta guardare alle ultime vuln su qemu/vmware che permettono di fare
>> vm
>> evasion.
>
> Si' mo me lo segno :)
>
>> altra cosa da tener conto e' che qubes OS funziona in modo
>> completamente
>> differente, per esempio, dall'usare il browser nella vm, soprattutto
>> se il
>> proprio hw ha anche il supporto a vt-d..
>
> Ah, grazie, non avevo letto il readme di qubes, l'avevo citato cosi' a
> caso, eh. :)
>
> Per altro ci sono vettori di attacco molto piu' semplici (oltre al
> solito[2]), ma mi sembra di avere gia' dato sufficienti informazioni su
> come sfondarmi senza bisogno di dettagliare ulteriormente :)
>
tornando a Qubes, da qualche giorno ho in mente un possibile vettore di
attacco...
partendo da:
http://blog.invisiblethings.org/2010/04/30/remotely-attacking-network-cards-or-why.html
e supponendo che oggi ci sia
un firmware NIC vulnerabile (cosa molto probabile), e dopo aver letto
http://blog.cr4.sh/2015/09/breaking-uefi-security-with-software.html
uno scenario del genere mi e' venuto in mente:
avendo un bug in SMM e quindi la possibilita' di instalalrci una
backdoor (come ha dimostrato cr4sh nei post precedenti), sarebbe
possibile utilizzare
SMM per bypassare TXT, in che modo: come dice il post di Joanna la NIC
ha accesso al DMA fin da subito, quindi prima che TXT venga avviato
(senza ancora aver abilitato IOMMU/VT-d,
ovvero quello che usa Qubes per isolare 'fisicamente' le netVM e i vari
stack USB, etc..), l'idea e' quella di usare l'accesso al DMA da parte
della NIC per infettare l'MBR il quale carichera'
nell'SMM la backdoor che a sua volta compromettera' TXT, Qubes fa
affidamento a questo meccanismo per garantire l'integrita' di se
stesso... al momento non sono sicuro che possa funzionare,
ma l'invito e' aperto a chiunque volesse provarci :)
molto probabilmente
https://firmware.intel.com/sites/default/files/STM_User_Guide-001.pdf
oppure SGX mitigano questo genere di scenario..
oppure altra cosa carina sarebbe quella di disabilitare la NIC integrata
e usare una scheda di rete PCI-e hotpluggandola dopo il boot, se non
sbaglio dovrebbe essere possibile..
e cmq resta il fatto che i bug in hw sono le cose piu' complicate da
mitigare e da qualche tempo un vettore d'attacco molto utilizzato..
ciao
