RAMBO: Khi RAM trở thành kênh rò rỉ dữ liệu ngoài không gian mạng

Các hệ thống air-gap — máy tính được ngắt hoàn toàn khỏi mạng có dây lẫn không dây — từ lâu được xem là lớp phòng thủ cuối cùng cho những dữ liệu tuyệt mật nhất. Thế nhưng một nghiên cứu mới mang tên RAMBO của nhà nghiên cứu Mordechai Guri đã cho thấy bức tường tưởng như kiên cố này vẫn có thể bị chọc thủng.

Theo bài báo đăng trên arXiv (mã 2409.02292, chuyên mục Mật mã và An ninh), malware trên một máy tính đã bị xâm nhập có thể tạo ra tín hiệu vô tuyến trực tiếp từ bus bộ nhớ RAM, mã hóa thông tin nhạy cảm rồi phát ra ngoài không gian mà không cần bất kỳ kết nối mạng nào.

Cơ chế tấn công: lợi dụng nhiễu điện từ của RAM

Điểm cốt lõi của RAMBO nằm ở việc bus bộ nhớ luôn phát ra bức xạ điện từ trong quá trình hoạt động. Thay vì tìm cách che giấu hiện tượng này, kẻ tấn công lại khai thác nó như một ăng-ten phát sóng.

• Malware điều khiển các thao tác đọc/ghi bộ nhớ theo một chuỗi nhị phân nhất định
• Mỗi chuỗi thao tác tương ứng với một mẫu tín hiệu vô tuyến khác nhau
• Dữ liệu như tệp tin, hình ảnh, thông tin gõ phím, dữ liệu sinh trắc học hay khóa mã hóa đều có thể được mã hóa thành các tín hiệu này

Phía thu, kẻ tấn công chỉ cần một thiết bị vô tuyến định nghĩa bằng phần mềm (SDR) cùng một ăng-ten phổ thông đặt cách mục tiêu một khoảng cách nhất định. Tín hiệu thô thu được sau đó sẽ được giải mã và chuyển ngược về dạng nhị phân ban đầu.

Điều đáng lo ngại là kỹ thuật này không đòi hỏi phần cứng đặc biệt đắt tiền, mà tận dụng chính linh kiện có sẵn trong mọi máy tính.

Tốc độ rò rỉ và các phương pháp tối ưu

Nhóm nghiên cứu đã trình bày nhiều phương pháp chỉnh sửa nhanh để đẩy tốc độ rò rỉ dữ liệu lên 1000 bit mỗi giây. Con số này tuy chưa thể so với băng thông mạng thông thường, nhưng đủ để đánh cắp các khóa mã hóa, thông tin đăng nhập hoặc một lượng dữ liệu tình báo có giá trị trong thời gian ngắn.

Nghiên cứu cũng đánh giá chi tiết thiết kế, triển khai thực tế và các kết quả đo lường, đồng thời đặt RAMBO trong bối cảnh các kỹ thuật tấn công kênh kề (side-channel) và kênh ẩn (covert channel) đã được biết đến trước đó.

Rủi ro thực tế với các tổ chức

Air-gap thường được áp dụng tại các cơ quan chính phủ, tổ chức tài chính, cơ sở hạ tầng trọng yếu và các môi trường nghiên cứu nhạy cảm. Việc một kênh rò rỉ vật lý như RAMBO tồn tại cho thấy giả định "cách ly vật lý là an toàn tuyệt đối" cần được xem xét lại.

Kịch bản tấn công điển hình gồm hai giai đoạn:

1. Xâm nhập ban đầu — thường qua USB, chuỗi cung ứng phần mềm hoặc nhân viên bị lừa đảo
2. Rò rỉ dữ liệu — malware kích hoạt cơ chế phát sóng từ RAM để đưa thông tin ra ngoài

Biện pháp phòng chống

Nhóm tác giả đề xuất một số biện pháp giảm thiểu mối đe dọa out-of-band này, bao gồm:

• Che chắn điện từ (TEMPSET) cho phòng đặt thiết bị và vỏ máy tính
• Giám sát phổ tần quanh khu vực chứa hệ thống quan trọng để phát hiện tín hiệu bất thường
• Hạn chế chạy mã không tin cậy và kiểm soát chặt chẽ thiết bị ngoại vi
• Nhiễu tín hiệu chủ động để làm nhiễu các băng tần mà RAM có thể phát xạ

Góc nhìn cho người dùng và doanh nghiệp Việt Nam

Với các tổ chức tại Việt Nam đang vận hành phòng máy chủ biệt lập cho dữ liệu quan trọng — từ hệ thống ngân hàng, chứng khoán đến hạ tầng chính phủ — nghiên cứu này là lời nhắc nhở rằng an ninh air-gap không thể dựa duy nhất vào việc rút dây mạng.

Việc đánh giá lại mô hình đe dọa, bổ sung kiểm soát vật lý và đào tạo nhân sự về rủi ro kênh kề nên được đưa vào quy trình vận hành an toàn thông tin định kỳ. Dù RAMBO mới ở giai đoạn nghiên cứu học thuật, lịch sử cho thấy các kỹ thuật như vậy thường sớm xuất hiện trong công cụ của tội phạm mạng có tổ chức.

Bài báo gốc: RAMBO: Leaking Secrets from Air-Gap Computers by Spelling Covert Radio Signals from Computer RAM — Mordechai Guri, arXiv:2409.02292 [cs.CR], 3/9/2024.