Microsoft har valt att löda fast allt RAM-minne och inte erbjuda Thunderbolt-portar, enligt en läckt video. Även om Microsoft inte har bekräftat de lite underliga påståendena så lyfter de en intressant fråga. Är Thunderbolt säkert?
Det var nu ganska exakt tio år sen som Intel lanserade Light Peak. En ny optisk anslutningsteknik som utlovade minst tio gigabit per sekund och upp till hundratals eller tusentals gigabit i framtiden. Tekniken kom aldrig så långt som utlovades och lanserades aldrig i sitt ursprungliga format. Tekniken konverterades dock till kopparkablar och lanserades som Thunderbolt. I dag används Thunderbolt 3 för att ansluta snabba SSDer eller till och med externa grafikkort. Det är möjligt eftersom Thunderbolt låter enheter anslutas som något som liknar externa PCIe-enheter. Den stora fördelen med det är att det låter externa enheter läsa och skriva till en dators minne utan att gå genom systemprocessorn. Det ger stora prestandavinster. Det skapar dock också problem eftersom det skulle kunna ge extern åtkomst till väldigt viktiga hemligheter som lagras i ett systems RAM-minne.
Det finns attacker som utnyttjar Thunderbolts speciella åtkomst. Attackerna gör det möjligt att ansluta en enhet till en dator och antingen extrahera information eller installera skadlig mjukvara till och från en dators systemminne. Det kan göras på mindre än 10 minuter medan användaren av datorn är borta. Detta är givetvis ett ganska allvarligt säkerhetsproblem. Det är också ett problem som har varit känt i många år, långt innan Thunderbolt 3 lanserades.
Windows 10 sätter stopp
För just Thunderbolt 3 har Microsoft skapat skydd mot sådana attacker. Kernal DMA Protection for Thunderbolt 3 inkluderas i Windows 10 version 1803. Tekniken måste komma med en PC från fabriken för att fungera och kan inte installeras i efterhand. Den använder sig av en hårdvarukomponent som kallas för en Input/Output Memory Management Unit för att se till att Thunderbolt-enheter inte kan komma åt systemminne utan användarens tillstånd. Enheten kontrollerar att anslutna Thunderbolt-enheter använder tillåtna klassdrivrutiner från Microsoft för att de ska kunna användas. Enheter som inte använder dessa drivrutiner blockeras från åtkomst tills operativsystemet låses upp av användaren. Det är ett skydd som visserligen kan skapa problem för enstaka Thunderbolt-enheter men som har substantiella säkerhetsfördelar.
Med det sagt ger det inte perfekt säkerhet. Det är fortfarande möjligt för en attackerare att till exempel mata in en enhet i en Thunderbolt-port och lämna den där för att helt enkelt vänta tills användaren kommer tillbaka och låser upp datorn. Skyddet fungerar dessutom bara efter att datorn har startat och ger inget skydd under bootsekvensen. Där kan det dock finnas andra skydd i en dators firmware som kan skydda mot det.
En rimlig kompromiss?
Microsoft har alltså skyddat användare av Windows 10-datorer från några av de lättaste attackerna. Så som Windows fungerar i dag går det dock inte att ge ett bredare skydd. Det betyder att det definitivt finns argument för att tekniken har seriösa säkerhetsproblem som bara kan lösas genom att helt enkelt inte inkludera Thunderbolt-portar. Om vi utgår ifrån att vi pratar om Thunderbolt-portar i bärbara datorer känns detta dock som ett ganska svagt argument. Det låter osannolikt att en användare inte skulle notera att det plötsligt sitter en enhet i ena porten som väntar på att användaren låser upp datorn. Om en attackerare har åtkomst till datorn medan den är upplåst, är rimligtvis Thunderbolt-porten det minsta problemet. Man är helt ärligt ganska körd om någon får tag på ens upplåsta dator.
Vi vet om sagt inte om säkerhetsargumentet verkligen är ett officiellt argument inom Microsoft för Surface-enheter. Om det är det så har ju Microsoft delvis rätt och innan skydden som inkluderades i Windows 10 1803, var argumentet betydligt starkare. Nu är det betydligt svårare att se att säkerhetsargumentet är tillräckligt starkt för den bristande funktionalitet som det ger. Det härliga med Windows ekosystemet är ju i alla fall att det finns gott om bra alternativ med Thunderbolt-portar.
