Az Intel nagyjából négy és fél éve mutatta be a harmadik generációs Thunderbolt interfészt, amely egyfajta újrakezdés volt a cég életében, hiszen megváltak a korábban sokat kritizált hátrányoktól. Többek között a legnagyobb változás, hogy a saját aljzatról áttértek az USB Type-C-re, ami segítette a terjedést. Persze nagyon sok hardverre így sem került rá, de a korábbi generációkhoz képest jelentős volt az előrelépés.

A fentiek azonban magukkal hozták azt is, hogy egyre inkább megéri biztonsági rések után kutatni a Thunderbolton belül, és bizony bőven van mit felfedezni. Björn Ruytenberg friss kutatása az említett interfészen nem kevesebb, mint hét biztonsági résre lelt. Ezek a Thunderbolt összes verzióját érintik, és a segítségükkel a 2011 és 2020 között szállított, Thunderbolt portal rendelkező összes számítógép jelentős többsége feltörhető öt percen belül, akkor is, ha a secure boot be van kapcsolva, ha jelszó védi a belépést, illetve ha az adattároló titkosítva van. Ehhez pusztán fizikai hozzáférés kell a számítógéphez, egy csavarhúzó és egy támadásra kialakított céleszköz társaságában. Maga a gép olyan szinten módosítható lesz, hogy a támadás során teljesen ki lehet kapcsolni a Thunderbolt biztonsági rendszerét, illetve blokkolni lehet a firmware további frissíthetőségét. Az sem gond, ha az adott aljzat nem natív natív Thunderbolt módban működik, ugyanis amíg a Thunderbolt vezérlő elérhető, addig ez a mód visszakapcsolható a támadás során.

Némelyik frissebb gép már kínál úgynevezett kernel DMA protectiont, ami implementálja a DMA remapping funkciót. Ez az IOMMU által vezérelt memóriatartományra korlátozza az eszközök memória-hozzáférését. Sajnos maga a rendszer számos eszközzel kompatibilitási problémákat generál, tehát távolról sem tekinthető tökéletes megoldásnak, emellett ez sem nyújt teljes védelmet az összes Thunderspy támadásvektor ellen.

A Thunderspy esetében nagyon érdekes, hogy amíg a korábbi kutatások (Inception, PCILeech, Thunderclap) a Thunderbolt biztonsági rendszerének PCI Express szintjén át történő, DMA és IOMMU támadásokkal való megfektetésére koncentráltak, addig a Thunderspy gyakorlatilag magának a hardvernek és a protokollnak a biztonságát töri meg. Erre például már az a fehérlistás (a felhasználó beállíthatja, hogy mely Thunderbolt eszközöket fogadja el, illetve melyeket nem) megoldás sem jó, amit az Intel kínált például a Thunderclap ellen, mert gyakorlatilag a működés szintjén van kompromittálva a rendszer.

A biztonsági rések szoftveresen nem javíthatók, így a legegyszerűbb védekezés ellenük a Thunderbolt vezérlő teljes letiltása, amit a gépek BIOS-ában meg lehet tenni. Ennek viszont az az ára, hogy az összes vezérlőbe kötött port használhatatlan lesz, tehát USB, valamint DisplayPort módban sem működnek tovább, bár töltésre használhatók maradnak. Itt fontos kiemelni, hogy a szimplán USB Type-C portokat nem érinti a probléma. Ebből rögtön felmerülhet a kérdés, hogy miért nem elég pusztán USB Type-C módba visszaállítani a Thunderbolt portot? A lényeg annyi, hogy maga a támadás a Thunderbolt vezérlőt célozza, tehát akármelyik korlátozott módban (legyen az USB passthrough vagy mixed USB/DisplayPort) vissza tudja állítani a támadó a natív Thunderbolt módot.

Bizonyos gépek esetében nyilván nem túl járható út a Thunderbolt vezérlő letiltása, ugyanis rengeteg portot vesztene a felhasználó. Ilyenkor csak óvintézkedésekre lehet hagyatkozni, többek között vigyük magunkkal a gépet akár csak pár percre is, illetve csak a saját perifériáinkat használjuk a Thunderbolt porton. Ezek a védekezés alapjai, mert a támadás fizikailag hajtható végre.

Az Intel a Thunderspy hivatalos weboldala szerint elismerte a sebezhetőségek jelenlétét, illetve azt is, hogy a kernel DMA protection csak részleges védelmet kínál, de ennél több javítás nem érkezik majd. Ugyanakkor a jövőben további hardveres védelmeket építenek be a fejlesztés alatt álló Thunderbolt vezérlőkbe. Mindezeken a Thunderspy weboldala leírja, hogy az Intel nem hoz majd létre CVE bejegyzést a felfedezett biztonsági résekre vonatkozóan, illetve nem is adnak védekezésre vonatkozó tanácsokat az ügyfeleiknek, sőt, nem is írnak róla publikusan.

A Thunderboltot kifejezetten használó Apple esetében a macOS rendelkezik részleges védelmekkel, de teljesen nem véd ez sem a Thunderspy ellen.