Ataques de cold boot: o que a RAM lembra depois que a energia é cortada
Desligar um computador parece uma fronteira definitiva. Não é. A DRAM que guarda a memória de trabalho de um sistema em execução é uma grade de capacitores minúsculos, e capacitores se descarregam aos poucos. Por segundos, às vezes minutos, depois que a energia desaparece, os chips ainda retêm a maior parte do que foi gravado neles, incluindo as chaves de volume que a criptografia de disco carrega na inicialização. Um atacante que reinicie essa máquina com um bootloader mínimo e copie os restos sai com essas chaves. Isso é um ataque de cold boot, e ele vem sendo demonstrado contra produtos reais de criptografia amplamente usados desde 2008.
O trabalho de Princeton que deu nome ao problema
A demonstração canônica veio de pesquisadores do Center for Information Technology Policy da Universidade de Princeton e colaboradores. O artigo deles, 'Lest We Remember: Cold Boot Attacks on Encryption Keys', foi apresentado no simpósio USENIX Security em San Jose em julho de 2008. A distância entre aquela época e esta merece ser dita com clareza: a técnica é antiga, e o alerta também. Os autores mostraram que a DRAM retém seu conteúdo por segundos a minutos após a perda de energia, mesmo à temperatura de operação e mesmo depois de os módulos serem retirados da placa-mãe, e que um resfriamento simples, aplicado pela equipe com spray refrigerante, estende essa janela de forma drástica. Sem dispositivos ou materiais especiais, recuperaram chaves de criptografia de disco de imagens de memória e venceram BitLocker, FileVault, dm-crypt e TrueCrypt em reinicializações a frio. Também descreveram algoritmos para localizar chaves em memória parcialmente degradada e corrigir os erros de bits.Por que as chaves sobrevivem
Os key schedules do AES são o ponto fraco. A chave expandida é armazenada na memória com forte redundância interna, de modo que até um dump ruidoso pode ser corrigido até a chave verdadeira. E o hardware moderno não fecha o buraco. Uma análise acadêmica de 2017, 'Cold Boot Attacks are Still Hot: Security Analysis of Memory Scramblers in Modern Processors', examinou a lógica de scrambling que os processadores contemporâneos aplicam à DRAM, uma medida que se supunha atenuar esses ataques, e a considerou ineficaz: a máscara de scrambling pode ser derivada do próprio dump. Os autores montaram uma prova de conceito que recupera uma chave AES de criptografia de disco da memória de um processador moderno, e o ataque deles se apoia em uma breve interrupção de energia, não no resfriamento dos módulos.Por que desligar não é segurança
Se as chaves fossem apagadas de forma confiável ao desligar, a janela seria pequena. Mas vários estados de energia comuns nunca apagam nada. A suspensão em RAM mantém a DRAM energizada e renovada: cada chave que o sistema carregava permanece no lugar, atrás de uma tela de bloqueio que pode ser atacada diretamente. A hibernação grava a imagem da RAM no disco, o que é tão seguro quanto a criptografia do volume de swap ou de hibernação, porque um retrato da memória em execução em armazenamento não criptografado é um presente. Até uma reinicialização a quente não corta a energia dos módulos por muito tempo. O projeto Tails, que documenta essa ameaça para seus usuários, resume a exposição sem rodeios:... pode permanecer na RAM por vários minutos depois do desligamento ...Esse aviso se dirige a laptops comuns. Uma máquina desligada no sentido cotidiano, tampa fechada, tela escura, estado de energia impreciso, ainda pode conter tudo o que um atacante quer, e tomá-la custa segundos.
Quais mitigações existem de fato
O Tails é a defesa mais visível em uso diário. Ao desligar, o sistema sobrescreve a maior parte da RAM com dados aleatórios, e a mesma limpeza é acionada quando a mídia de inicialização é fisicamente retirada durante o funcionamento, um caminho de emergência construído exatamente para o momento em que alguém agarra a máquina. Por baixo do capô, ele se apoia no recurso init-on-free do kernel mais um watchdog que monitora a mídia USB, e as notas de projeto acrescentam que os arquivos de que o processo de limpeza precisa são travados na memória desde a inicialização, para que a limpeza não possa ser removida enquanto roda. Os hábitos que combinam com isso são pouco glamourosos, mas concretos:- Desligue por completo em vez de suspender, sobretudo antes de entregar o dispositivo a outra pessoa.
- Aprenda o caminho de desligamento mais rápido do seu sistema, porque a limpeza leva tempo para rodar.
- Nunca deixe um laptop ligado ou suspenso sem vigilância física.
- Se o hardware sai do seu campo de visão num cenário de alto risco, trate-o como possivelmente adulterado, não apenas desligado.