Le navi sono bestie meccaniche con molte parti che funzionano per garantire viaggi sicuri e di successo. Un equivalente digitale sarebbe il software. Come lo sviluppo del software, la costruzione navale prevede diversi passaggi e un'ingegnerizzazione precisa. Quindi, quando tutto è completo, i costruttori testano le loro creazioni in condizioni diverse per garantire che la nave sia sicura e funzioni come previsto. Praticamente tutti i migliori software che utilizziamo oggi vengono sottoposti a test per garantire che siano anche sicuri.
Uno di questi test è l'iniezione di guasti. Rispetto alla costruzione navale, l'iniezione di guasti sarebbe simile agli ingegneri nautici che fanno intenzionalmente buchi nelle loro navi per vedere come gestiscono l'affondamento...
Cos'è la Fault Injection e perché è importante?
L'iniezione di guasti è la pratica di creare intenzionalmente difetti in un sistema. L'obiettivo di questa pratica è analizzare come si comporta il sistema sotto stress. Gli ingegneri hardware e software in genere inducono guasti nel loro hardware o software per diversi motivi.
Per prima cosa, vogliono scoprire e risolvere i guasti che potrebbero verificarsi al di fuori dell'ambiente controllato del laboratorio di produzione. Questo è importante perché non hanno alcun controllo sulle condizioni in cui i clienti utilizzeranno i loro prodotti. Il calore potrebbe compromettere componenti o materiali che tengono insieme i componenti; un errore del server potrebbe causare la perdita dell'accesso al proprio servizio di streaming preferito a un'intera regione; gli aggressori potrebbero attivare un errore che interrompe le funzionalità di sicurezza. Quando si verificano tali eventi, gli sviluppatori e i produttori di dispositivi vogliono garantire i loro prodotti ancora proteggere l'integrità dei dati e la sicurezza degli utenti o regolare la distribuzione del carico per ridurre al minimo il servizio interruzione.
In definitiva, l'inserimento dei guasti è necessario per rendere le app e l'hardware sicuri, protetti e affidabili. Allo stesso modo, l'inserimento dei guasti aiuta i produttori a proteggere la proprietà intellettuale, ridurre il rischio di perdita e mantenere la fiducia dei clienti. Non metteresti i tuoi soldi in una banca se la loro app si blocca continuamente e gli hacker hanno una giornata campale per decifrarla, vero?
Come funzionano gli attacchi Fault Injection?
I produttori eseguono intenzionalmente l'iniezione di guasti per scoprire difetti che potrebbero compromettere la sicurezza dei loro prodotti. Niente impedisce agli aggressori di fare lo stesso per esporre i punti deboli di un sistema e sfruttarli. Dopotutto, gli strumenti utilizzati per eseguire l'iniezione di guasti sono pubblici e i metodi non sono eccessivamente complessi.
Inoltre, gli aggressori esperti possono essere creativi con i loro metodi e spingere il sistema oltre ciò che è normale. A questo punto, devi sapere che l'iniezione di guasti può essere fisica (nell'hardware) o digitale (nel software). Allo stesso modo, gli strumenti ei metodi utilizzati negli attacchi di fault injection possono assumere entrambe le forme. Produttori e hacker spesso combinano strumenti fisici e digitali rispettivamente nei test e negli attacchi.
Alcuni strumenti utilizzati per l'iniezione di guasti sono FERRARI (Fault and ERRor Automatic Real-time Injector), FTAPE (Fault Tolerance And Performance Evaluator), Xception, Gremlin, Holodeck e ExhaustiF. Nel frattempo, i metodi FIA spesso comportano il bombardamento del sistema con intensi impulsi elettromagnetici, l'aumento della temperatura ambientale, la sottotensione GPU o CPUo innescando un cortocircuito. Utilizzando strumenti e metodi FIA, possono corrompere un sistema abbastanza a lungo da sfruttare un ripristino, aggirare un protocollo o rubare dati sensibili.
Prevenzione degli attacchi di Fault Injection
Non devi preoccuparti di prevenire gli attacchi FIA se sei un consumatore abituale. Tale responsabilità è del produttore del dispositivo o dello sviluppatore del software, proprio come la sicurezza della nave è compito dell'equipaggio di navigazione. Produttori e sviluppatori lo fanno progettando protocolli di sicurezza più resilienti e rendendo difficile l'estrazione dei dati per gli hacker.
Tuttavia, non esistono sistemi perfetti. Gli aggressori sviluppano spesso nuovi metodi di attacco e non sono limitati nel modo in cui applicano tali metodi poiché non rispettano le regole. Ad esempio, un hacker può combinare FIA con a attacco del canale laterale, soprattutto se il loro accesso al dispositivo è limitato. Il team dall'altra parte deve riconoscere questo fatto nella progettazione di sistemi resilienti e nella pianificazione dei test di fault injection.
Dovresti essere preoccupato per la FIA?
Non direttamente. È più probabile che ci siano minacce alla sicurezza informatica che ti colpiscono più personalmente rispetto agli attacchi di fault injection. Inoltre, la FIA è raramente segreta. Un utente malintenzionato avrà bisogno dell'accesso fisico al tuo dispositivo per eseguire un attacco di fault injection. Inoltre, i metodi di iniezione dei guasti sono generalmente invasivi e comportano un certo livello di danni temporanei o permanenti al sistema. Quindi, è molto probabile che tu noti che qualcosa non va o che ti venga lasciato con un dispositivo che non puoi utilizzare.
Il trucco, ovviamente, è che l'attaccante potrebbe aver rubato dati sensibili nel momento in cui noti la manomissione. Spetta innanzitutto al produttore o allo sviluppatore prevenire l'attacco e migliorare la sicurezza dei propri prodotti.
