L'air gap è un dosso, non un caveau: la RAM può sussurrare

Stacchi il cavo, spegni il Wi-Fi, chiudi a chiave la stanza: il computer è finalmente al sicuro? Un articolo accademico su un attacco chiamato RAMBO, che sottrae segreti ai computer con air gap tramite segnali radio nascosti, suggerisce che la risposta onesta sia "più sicuro, non sicuro".

Cosa mostra davvero la ricerca

Il lavoro porta la firma del dott. Mordechai Guri, responsabile dell'Offensive Cyber Research Lab, secondo The Hacker News. L'idea è che il codice malevolo su una macchina infetta e isolata manipoli le operazioni di memoria in modo che i bus di memoria emettano segnali radio. Quei segnali trasportano dati codificati. L'articolo su arXiv riporta una fuga di dati a 1000 bit al secondo.

È lento, e non dobbiamo far finta del contrario. Ma una password, una chiave di cifratura o un documento breve non hanno bisogno della banda larga. L'attacco, inoltre, non è un modo per entrare: il malware deve già trovarsi sulla macchina e, come per gli attacchi affini contro gli air gap, serve un ricevitore a portata. L'articolo non toglie valore all'air gap. Mette in discussione la convinzione che l'air gap sia assoluto.

L'isolamento riduce il rischio, e va bene così

Un air gap è, secondo la definizione da manuale, una macchina senza alcuna interfaccia di rete collegata ad altre reti. Questa definizione parla di reti. La fisica non la legge. Memoria, cavi e CPU sono elettronica, e l'elettronica irradia.

Neanche RAMBO è un caso isolato. Altri lavori accademici riguardano cavi Ethernet usati come antenne, segnali Wi-Fi nascosti emessi da computer con air gap e captati a diversi metri di distanza, e canali elettromagnetici che un infiltrato o una spia nelle vicinanze potrebbe leggere con un cellulare o un portatile. Quando la stessa famiglia di attacchi continua a produrre nuove varianti, sembra meno una curiosità e più una categoria.

Il nostro parere: la reazione giusta non è il panico, e nemmeno un "chi se ne importa, prima serve un malware". La prima infezione è proprio ciò che gli ambienti con air gap sono costruiti per impedire, quindi dare per scontato che non possa accadere è il punto debole. I team di sicurezza dovrebbero trattare l'air gap come uno strato robusto tra più strati, non come il motivo per saltare gli altri.

Chi deve preoccuparsi e cosa fare

La maggior parte dei lettori non deve perdere il sonno. Se il tuo modello di minaccia è il ransomware o il phishing, questa ricerca è molto in basso nella tua lista. Conta per il ristretto gruppo di sistemi in cui l'isolamento è il controllo principale: gestione delle chiavi, reti industriali o governative sensibili, tutto ciò la cui fuga sarebbe catastrofica.

Per questi casi, sosteniamo tre abitudini. Primo, aggiungere i canali laterali fisici al modello di minaccia, accanto a quelli di rete e USB. Secondo, pensare a distanza e schermatura: questi attacchi dipendono dalla vicinanza di un ricevitore, quindi conta chi può avvicinarsi. Terzo, investire nel rilevamento. Un articolo dell'IEEE allestisce un laboratorio con hardware a basso costo proprio perché non esistevano dataset pubblici per rilevare l'esfiltrazione radio basata sulla RAM. Ciò indica che i difensori sono indietro rispetto agli attaccanti per i dati disponibili e che il monitoraggio è ancora immaturo.

C'è anche una lezione più discreta sull'eccesso di fiducia. "Con air gap" viene spesso usato negli audit per chiudere la discussione. Dovrebbe essere l'inizio di una domanda: isolato da cosa, e contro chi?

Il nostro verdetto

Tieni i tuoi air gap. Restano uno dei modi più economici per escludere dal quadro la maggior parte degli attaccanti. Ma smetti di chiamarli garanzie. Se un sistema ha abbastanza valore da essere isolato, ne ha abbastanza anche per chiedersi come potrebbe comunque parlare con qualcuno nei paraggi con un ricevitore. La risposta di RAMBO è scomoda: più facilmente di quanto vorresti.