O air gap é um quebra-molas, não um cofre: a RAM pode sussurrar

Desconecte o cabo, desligue o Wi-Fi, tranque a sala: o computador finalmente está seguro? Um artigo acadêmico sobre um ataque chamado RAMBO, que vaza segredos de computadores com air gap por meio de sinais de rádio ocultos, sugere que a resposta honesta é "mais seguro, não seguro".

O que a pesquisa realmente mostra

O trabalho é do Dr. Mordechai Guri, chefe do Offensive Cyber Research Lab, segundo o The Hacker News. A ideia é que um código malicioso em uma máquina infectada e isolada manipula operações de memória para que os barramentos de memória emitam sinais de rádio. Esses sinais carregam dados codificados. O artigo no arXiv relata o vazamento de dados a 1000 bits por segundo.

É lento, e não adianta fingir o contrário. Mas uma senha, uma chave de criptografia ou um documento curto não precisam de banda larga. O ataque também não é uma porta de entrada: o malware já precisa estar na máquina e, como em ataques semelhantes contra air gaps, é preciso haver um receptor ao alcance. O artigo não elimina o valor do air gap. Ele ataca a crença de que o air gap é absoluto.

Isolamento é redução de risco, e tudo bem

Um air gap é, na definição de manual, uma máquina sem interface de rede conectada a outras redes. Essa definição é sobre redes. A física não a lê. Memória, cabos e CPUs são eletrônica, e eletrônica irradia.

O RAMBO tampouco é um caso isolado. Trabalhos acadêmicos relacionados tratam de cabos Ethernet usados como antenas, de sinais Wi-Fi ocultos de computadores com air gap captados a vários metros e de canais eletromagnéticos que um infiltrado ou espião por perto poderia ler com um celular ou notebook. Quando a mesma família de ataques continua gerando novas variantes, ela parece menos uma curiosidade e mais uma categoria.

Nossa opinião: a reação certa não é pânico nem um "quem se importa, antes precisa de malware". A primeira infecção é exatamente o que os ambientes com air gap foram feitos para impedir, então presumir que ela não pode acontecer é o ponto fraco. As equipes de segurança deveriam tratar o air gap como uma camada forte entre várias, não como o motivo para pular as outras.

Quem deve se preocupar e o que fazer

A maioria dos leitores não deve perder o sono. Se o seu modelo de ameaças é ransomware ou phishing, essa pesquisa está bem abaixo na sua lista. Ela importa para o conjunto restrito de sistemas em que o isolamento é o controle principal: gestão de chaves, redes industriais ou governamentais sensíveis, qualquer coisa cujo vazamento seria catastrófico.

Para esses casos, defendemos três hábitos. Primeiro, incluir canais laterais físicos no modelo de ameaças, ao lado dos de rede e USB. Segundo, pensar em distância e blindagem: esses ataques dependem de um receptor por perto, então importa quem consegue se aproximar. Terceiro, investir em detecção. Um artigo do IEEE monta um laboratório com hardware de baixo custo justamente porque não havia conjuntos de dados públicos para detectar exfiltração por rádio baseada em RAM. Isso indica que os defensores estão atrás dos atacantes nos dados de que dispõem e que o monitoramento ainda é imaturo.

Há também uma lição mais discreta sobre excesso de confiança. "Com air gap" costuma ser usado em auditorias para encerrar a conversa. Deveria ser o começo de uma pergunta: isolado do quê, e contra quem?

Nosso veredito

Mantenha seus air gaps. Eles continuam sendo uma das formas mais baratas de tirar a maioria dos atacantes do jogo. Mas pare de chamá-los de garantias. Se um sistema é valioso o bastante para ser isolado, também é valioso o bastante para perguntar como ele ainda poderia falar com alguém por perto segurando um receptor. A resposta do RAMBO é desconfortável: com mais facilidade do que você gostaria.