In questo articolo Indice dei contenuti 3 sezioni
Quando viene collegato un dock USB-C al computer, succede qualcosa che nessuna app installata potrà mai fare: quel pezzo di plastica e metallo ottiene un canale diretto verso la memoria di sistema, senza che il processore debba autorizzare ogni singolo passaggio. È un dettaglio tecnico che sfugge quasi a tutti, perché le abitudini di sicurezza che ci portiamo dietro riguardano il software. La provenienza di un file scaricato, i permessi richiesti da un programma, l’antivirus aggiornato. L’hardware, invece, viene dato per innocuo. E in realtà può essere ben più pericoloso, proprio perché si muove sotto il livello del sistema operativo, in una zona d’ombra dove nessuna finestra di avviso arriverà mai a segnalare nulla.
I dock Thunderbolt e USB4 sono tra i dispositivi più usati nella vita quotidiana di chi lavora con un portatile, e diversi modelli sono in grado di veicolare traffico PCIe. Tradotto: il sistema li vede come periferiche PCIe a tutti gli effetti. Non tutti i dock si comportano così, ma sono abbastanza numerosi da rendere la questione concreta e non accademica.
Perché il software vive in una gabbia e il PCIe no
Un programma che gira sul computer è contenuto in modi piuttosto rigidi, anche a livello hardware. Ogni processo lavora dentro uno spazio di indirizzi virtuali costruito dal kernel, e la CPU traduce al volo quegli indirizzi virtuali in indirizzi fisici reali. È esattamente questo meccanismo a impedire a un’applicazione di leggere la memoria di un’altra. Il kernel vede tutto, e se un’app vuole uscire dal recinto assegnato le servono privilegi di livello kernel.
Le periferiche PCIe giocano con regole diverse, e il motivo si chiama DMA, accesso diretto alla memoria. Esiste per necessità pratica: un controller di archiviazione o una GPU che spostano gigabyte al secondo non possono permettersi di aspettare che il processore faccia da intermediario per ogni singola transazione. Le prestazioni crollerebbero. Quindi ai dispositivi PCIe viene concesso di leggere e scrivere nella memoria di sistema quando serve, senza coinvolgere la CPU.
Ottimo per la velocità, meno rassicurante sul fronte sicurezza: qualsiasi periferica che usa quel canale ha accesso completo allo stato della macchina e può comprometterla del tutto. Vale anche per la scheda video e per l’SSD NVMe, ovviamente. La differenza sta nel fatto che quelli stanno avvitati dentro il case, mentre un dock si infila e si sfila in due secondi. È la natura plug and play a trasformare un dettaglio architetturale in un rischio reale.
Gli attacchi documentati, da Thunderclap a Thunderspy
La storia di queste vulnerabilità è ben documentata fin dalle prime generazioni. Strumenti come Inception e PCILeech hanno dimostrato che Thunderbolt 1 poteva diventare una porta d’ingresso per sottrarre dati da unità cifrate e per leggere e scrivere la memoria di sistema a ogni livello. Intel ha risposto con misure aggiuntive su Thunderbolt 2, aggirate piuttosto rapidamente.
Nel 2019 un gruppo di ricercatori di Cambridge, Rice e SRI International ha pubblicato Thunderclap, che invece di forzare l’autorizzazione dei dispositivi attaccava direttamente le protezioni IOMMU. La scoperta: quelle difese non reggono contro una periferica che si finge un dispositivo funzionante e sfrutta le interazioni complesse con il sistema operativo. Compromissioni funzionanti su macOS, FreeBSD e Linux, mentre Windows all’epoca usava l’IOMMU solo in casi limitati, quindi risultava altrettanto esposto.
L’anno dopo Björn Ruytenberg ha presentato Thunderspy, capace di creare identità Thunderbolt arbitrarie, clonare dispositivi già autorizzati e disattivare in modo permanente la sicurezza Thunderbolt bloccando anche gli aggiornamenti firmware.
Quanto bisogna preoccuparsi davvero
I sistemi moderni se la cavano piuttosto bene. La Kernel DMA Protection sfrutta l’IOMMU per impedire alle periferiche esterne di avviare operazioni DMA a meno che i loro driver non supportino l’isolamento della memoria. Ciò che non è compatibile non parte proprio, almeno finché un utente autorizzato non ha effettuato l’accesso. C’è poi un punto pratico: quegli attacchi richiedono un dispositivo appositamente manomesso e l’accesso fisico alla macchina. Un dock comprato da un produttore noto in un negozio affidabile difficilmente nasconde malware, e il traffico DMA che genera è quello normale, quello che rende veloce la porta Ethernet.
Buttare via il dock USB-C usato ogni giorno non ha senso, perché attacchi del genere sono mirati per definizione. Chi vuole togliersi il dubbio può verificare se il sistema segnala la protezione DMA come attiva e se virtualizzazione e IOMMU risultano abilitate nel firmware. Per le macchine precedenti al 2019 circa non arriverà alcun aggiornamento, e in quel caso conviene scegliere con attenzione quali dispositivi Thunderbolt collegare.
