От гаджетов до инфраструктуры: уязвимость GigaDevice подвергает риску целые индустрии

Специалисты Positive Technologies выявили значительные недостатки в системе защиты от считывания прошивки, используемой в микроконтроллерах GigaDevice GD32. Результаты исследования показывают, что потенциальные злоумышленники могут легко обойти эту защиту, извлечь прошивку, выявить уязвимости и даже модифицировать или украсть программное обеспечение устройства. Эти микроконтроллеры активно применяются в различных устройствах, таких как зарядные станции, автомобильные двигатели, аккумуляторы и системы доступа , которые производятся многими компаниями по всему миру.

Как отметили в Positive Technologies, современные устройства в значительной степени состоят из стандартных компонентов, а именно прошивка придает им основную стоимость, позволяя компонентам работать согласованно. Важно, что эта критически важная интеллектуальная собственность хранится во флеш-памяти микроконтроллеров, где для ее защиты используются технологии, запрещающие несанкционированное считывание. Однако эксперты обнаружили, что механизмы защиты в микроконтроллерах GigaDevice функционируют недостаточно эффективно. Легкость извлечения прошивки открывает злоумышленникам доступ к выявлению уязвимостей оборудования. В последние полтора года микроконтроллеры GigaDevice нередко заменяют популярные 32-битные микросхемы производства STMicroelectronics в различных продуктах по всему миру.

Для независимой оценки безопасности этих чипов исследователи протестировали 11 моделей GigaDevice GD32, предварительно активировав в них защитные технологии. Все испытанные устройства, относящиеся к семействам GD32F1x0, GD32F3x0, GD32F4xx, GD32L23x, GD32E23x, GD32E50x, GD32C10x, GD32E10x, GD32F20x, GD32F30x и GD32F403, продемонстрировали возможность извлечения прошивки в незашифрованном виде. Информация о выявленных угрозах была передана вендору в рамках политики ответственного раскрытия.

С учетом сложности устранения аппаратных уязвимостей Positive Technologies рекомендует производителям выбирать микроконтроллеры, прошедшие независимые тесты на защиту от считывания прошивки. Производители могут проверять маркировку микроконтроллеров, а пользователи могут запрашивать информацию у вендоров или самостоятельно определять маркировку чипа при разборке устройства.