Herkese selamlar,
Uzun zamandır aklımda olan bir projeyi sizlere anlatmak istiyorum.
T480 ThinkPad Dark Lightning Nedir?
Çoğu kişi yeni bir bilgisayar alır, Linux veya Windows kurar; oyun oynar, grafik tasarım yapar, modelleme yapar, video kurgular veya siber güvenlik için araçlar kurar.
Ancak benim yaklaşımım çok daha başkaydı. Amaç, F-22, SR-71 ve F-117 Nighthawk uçaklarının stratejisini siber ortama uygulamaktı. Sebebi ise 2006-2008 yıllarından sonra bilgisayarlara yavaş yavaş Intel ME (Management Engine) ve AMD PSP sektörlerinin eklenmesiyle aslında bilgisayar içerisinde başka bir bilgisayara sahip olmanızdı.
Fakat bu kısım sizin kontrolünüzde değildi. Yani donanım seviyesinde bir arka kapı oluşabiliyordu makinelerinizde. Bu nedenle bana sıradan bir bilgisayar değil, tümden hakimiyet ve özelleştirme sağlayabileceğim bir makine gerekiyordu.
Lenovo ThinkPad T480 ve T430 arasında gidip geldim. T430 çok ucuzdu; hatta internette UEFI özelleştirmek ve Intel ME'yi tamamen devre dışı bırakmak için tonla kaynak ve hazır dağıtım vardı. Fakat sorun şuydu: Ben bu bilgisayara ilk etapta Type-C üzerinden Google Coral TPU und USB üzerinden ise Intel Neural Compute Stick 2 bağlayacaktım.
Coral ağ tabanlı yapay zeka savunması (NDR), Intel Neural Compute Stick 2 ise durumsal farkındalık sistemi gibi çalışacaktı. Bant genişliği ve port yuvalarının eksikliğinden dolayı T430'dan vazgeçtim ve T480'i hedef seçtim.
Ancak bir sorun vardı; internetteki özgür firmware dağıtımlarının T480 üzerinde resmi bir desteği yoktu ve üreticilerle hukuki sorunlar yaşamamak için genellikle genel geçer makaleler yayınlıyorlardı. İşin ilginç tarafı, aslında kullanılan yöntemlerin bazılarında dolaylı olarak güvenlik servislerinin parmağı vardı; kendilerini korumak adına HAP bitini (High Assurance Platform) devre dışı bırakmak için bu projelere kapıyı aralamışlardı.
Sadece T480'i Type-C portlarından değil, gelecekte daha hızlı M.2 NPU çipleri ile desteklemek istediğimde geçişin kolaylığı açısından da bu platforma ihtiyacım vardı. İşte bu ihtiyaçlarımı karşılayacak bilgisayar tam anlamıyla T480'di.
Neden HP, Dell veya Asus değil? Çünkü özelleştirme açısından o kadar esnek değiller ve örneğin HP'de "Sure Start" gibi mekanizmalar olduğundan kullanacağım açık kaynaklı firmware yapılarında tonla sorun çıkabiliyordu. Elinde X99 sunucular veya standart HP laptoplar olan biri olarak söyleyebilirim ki, en büyük sorunları özelleştirmeye uygun olmamaları ve sürekli baş ağrısı yaratmaları.
Amaç sadece UEFI kalıcılığı olan zararlılardan korunmak değildi. İnternette zamanlama tabanlı saldırılar (timing attacks) veya bir web sayfasına giriş yaptığınızda UEFI bilgilerinizi okuyup sizi otomatik olarak takip eden trackerlar ve saldırı sistemleri mevcut. Bunlarla ilk meslek lisesi yıllarımda karşılaşmıştım. O zamanlar Cicada 3301 benzeri puzzle çözdüren yarışmalar veya web sayfaları yaygındı ve daha önemlisi bunların bazıları istihbarat servisleriyle bağlantılıydı.
Google 2015 civarında onion tabanlı web sayfalarını bazen indeksleyip yayınlıyordu ve ben de MEB'in engel listesinden kaçan sitelere bazen VPN, bazen proxy, bazen de doğrudan giriyordum. Fark ettiğim şuydu: Bazı web sayfaları geçmişte kullanıcıların fare hareketlerini kopyalamış, tarih ve saat olarak bu hareketleri birebir simüle ediyordu. Bazı sitelerde ise havacılık koordinat sistemlerine benzer puzzle parçaları vardı.
İşte bu o zamandan beri düşündüğüm bir şeydi; birisi I/O katmanında veri toplayabiliyor, zamanlama saldırısı yapmayı hedefleyebiliyorsa; SSD, HDD firmwareleri veya UEFI tipleri ile beraber CPU ve GPU mimarisi bu biçimde ortaya çıkarılabilirdi. Nitekim günümüzde bu tip gelişmiş saldırılar iyice yaygınlaşmaya başladı.
Yani olay kalıcılığı ortadan kaldırmakla beraber zamanlama gibi kritik donanımsal saldırılara karşı da dirençli hale gelmekti. Bu, basit bir web sayfasına girdiğinizde de yapılabiliyor, hatta popüler sosyal medya uygulamalarındaki akışta olan bir video, fotoğraf veya gizli metin gibi görünen emojiler üzerinden bile tetiklenebiliyor. Bu nedenle UEFI tarafını sadece LoJax, BlackLotus ve benzeri bilinen zararlılara karşı korumaya almak yetmezdi. Tool yapmaktan kastım buydu aslında.
Çoğu insan Docker, sanal makineler (VM) veya cloud mimarilerinin arkasına saklanarak kendini tamamen koruduğunu sanır; ancak bunlar sizi sadece bir yere kadar korur. Hem savunma hem de ofansif operasyonlar için taşınabilir, "All-in-One" bir çözüm arayışım vardı ve işte bunu T480 ile sağlayacağım.
Peki neden MacBook veya ARM tabanlı bir sistem değil? SoC (System on Chip) ve Apple'ın kapalı mimarisinde de kendine has ciddi problemler var. ARM tabanlı firmware katmanlarına bir bootkit yapıştığı zaman onu oradan temizleyip kurtarması çok daha zor, keza MacBook'larda da öyle. Benim amacım isabet alsa bile kolayca düzeltilebilir olması, rezerv parçalarla bakım ve onarımlarını anında giderebilmek. Yani elimde aslında vurulsa bile birkaç dakika içinde yeniden operasyona hazır hale gelebilecek bir makine var. Donanımsal olarak fiziksel bir imha almadığı sürece bu sisteme ölümsüz diyebiliriz.
Sergi Kısmı
Baş ağrısı 1.
Baş ağrısı 2.
Yedek çipler.
Başarılı kurulum.
Bu iş için 2-3 gün sabahladım, kelimenin tam anlamıyla sınırları zorladım. Hatta bir süre sonra artık burnumdan kan kokusu almaya başladığımı hissetmeye başlamıştım. Etrafımda olan herkes aklımı kaçıracağımı bile düşündü fakat sonunda başardım. Süreç boyunca cihazı tam 2 ila 5 kez brick ettim. Ancak pes etmedim.
Peki normal olarak neden bu kadar uğraştırdı? Intel ME'yi nötralize etmek yeterli değil miydi? Aslında değildi. Çünkü benim aldığım T480'de sadece standart ME yoktu; Intel ME'nin kurumsal versiyonu olan AMT (Active Management Technology) aktif durumdaydı. Yani ağ üzerinden işletim sisteminden bağımsız komutla başlatma, KVM kontrolü gibi çok daha agresif bir yapı söz konusuydu ve bu donanımsal güvenlik açısından çok daha büyük bir riskti. Ancak Lenovo cihazların yapısını iyi tanıdığımdan, doğru konfigürasyonla bu engeli ve AMT tehdidini tamamen ortadan kaldırmayı başardım.
İlk başta derleme ve yama adımlarını yapay zeka desteğiyle yapmayı denedim fakat AI tüm konfigürasyonu mahvetti. Sürecin her aşamasında elle (manual) müdahale etmek zorunda kaldım. İlk derlenen sürüm o kadar başarısızdı ki cihaz direkt brick oldu; ikincisinde ise çeşitli donanımsal çakışmalar ortaya çıktı. Birkaç farklı varyasyon deneyerek sonunda temiz ve optimize edilmiş firmware imajını çipe doğrudan bastırmayı başardım.
Bu makinede ayrıca yerleşik Wifi adaptörü kullanmıyorum, E-fuse üretim hattında bazen WP pinlerini tam kapatmayabiliyor bu genelde sabotaj kaynaklı olabilmekte veya bazen yazılımsal hatadan olabiliyor bu nedenle insan müdahilesi ile sonlandırılmış yani lehim ile kapatılmış Wifi adaptörleri tercih ediyorum. Peki WP açık olursa ne olur? Firmware ile SRAM bulunan çip kısmına enfeksiyon riski olabiliyor. Bazı üreticilerin alt yapılarına sızan APT grupları ve onların envanter takip sistemleri seri numaralarına göre adaptör takibi yapabiliyor.
İşin güzel yanı SSD veya HDD zamanlama saldırılarına karşı doğal bir bağışıklığı var artık.
T480 ThinkPad Dark Lightning Yol Haritası
Giriş Segmenti: Çekirdek ve Altyapı
- Blok 10: 16 GB RAM konfigürasyonu. Intel ME (Management Engine) ve AMT'nin donanımsal olarak nötralize edilmesi, olası arka kapıların kapatılması.
- Blok 20: İşletim sistemi (OS) seviyesinde özelleştirmeler, IPS/IDS ve benzeri ağ savunma sistemlerinin yapılandırılması. Yedek UEFI/BIOS çiplerinin tedarik edilmesi (ortalama 5 adet) ve fiziksel/yazılımsal kamuflaj çalışmaları.
Gelişmiş Entegrasyon: Yapay Zeka ve Durumsal Farkındalık
- Blok 30: Intel Neural Compute Stick 2 VPU ve Google Coral TPU'nun aktif savunma ile ofansif amaçlı entegrasyon aşaması. 32 GB RAM'e geçiş. Durumsal farkındalık sisteminin entegrasyonu (Tahmini 2-3 yıllık geliştirme süreci).
- Blok 40: Daha gelişmiş yapay zeka çiplerinin (26 TOPS ve üzeri güçte) donanıma entegrasyonu. Zaman içerisinde geliştirilecek özgün saldırı ve savunma araçlarının sisteme gömülmesi.
Güç ve Donanımsal Genişleme
- Blok 50: 64-128 GB RAM kitleri ve genişletilmiş bataryaların eklenmesi (cihaz içi çift batarya mimarisi optimizasyonu). Sistem genelinde tam donanımlı sanallaştırma (Type-1 Hypervisor) altyapısının kurulması.
- Blok 60: Thunderbolt arayüzü üzerinden harici ekran kartı (eGPU) entegrasyonu. Yerel LLM (Large Language Model) süreçleri için özelleştirilmiş donanım desteği.
Ex Serisi: Ekstrem Modifikasyonlar ve Nihai Özgürlük
- Blok 70 Ex: Entegre edilecek harici GPU'nun vBIOS'unun özelleştirilmesi ve donanımsal imkanlar dahilinde VRAM takviyesi operasyonu.
- Blok 80 Ex: UEFI tarafındaki mevcut çiplerin 32 MB kapasiteli olanlarla fiziksel olarak değiştirilmesi (lehimleme/swap) ve sonrasında özgürleştirilmiş firmware mimarisi üzerine özgün yazılımsal çalışmaların eklenmesi (Tahmini 3 ila 5 yıl arası geliştirme süreci).
Nihai Hedef
2018 üretimi bu donanımı, gerçekleştirilecek modifikasyonlar sayesinde ortalama 10 yıl+ bandında aktif olarak kullanmayı hedefliyorum. Envanterde bulunan ana üretim makinelerini riske atmadan; zararlı yazılım analizi (malware analysis) süreçlerinde Any.Run veya VirusTotal gibi bulut platformlarına bağımlı kalmaksızın, tamamen yerelde, maksimum verimlilikle ve tam izolasyon altında çalışmayı öngörüyorum.
Neden Dark Lightning adını aldığını buradan öğrenebilirsiniz: https://www.rmets.org/metmatters/dark-lightning?__cf_chl_f_tk=FGs3_A5iLI8zwhd3ogOV.XBwIVqtSEHA6cvFCveE.0Y-1782942608-1.0.1.1-jUImw44wi08RxDNNNK9TV6K6_soJM45QZiDg4lamvxM
Okuduğunuz için teşekkür ederim.