一个接口，可以绕过你所有的软件防护

想象一下这个场景：你在咖啡馆打开 MacBook 工作，站起来去买咖啡的功夫，有人把你的电脑拿起来，插入一个拇指大小的设备，几十秒后还了回来。你回到座位继续工作，完全没有察觉。

但这几十秒内，攻击者已经通过 Thunderbolt 端口直接访问了你的内存——绕过了文件加密、密码保护、防火墙等所有软件层面的防护。他们可以拷贝你的文档、截图、密码管理器数据库，甚至在你的电脑上安装后门。

这不是科幻电影的情节。这是真实存在的安全威胁，叫做 DMA（Direct Memory Access）攻击。而 Thunderbolt 端口，正是这类攻击最常见的入口。

DMA 攻击是什么

从理论到现实的攻击路径

DMA 攻击的理论基础可以追溯到 2011 年。当时安全研究人员发现，通过 FireWire 端口可以直接访问内存。Thunderbolt 出现后，由于使用了相同的 PCIe 隧道技术，攻击难度大幅降低。

DMA 允许外设直接访问系统内存，无需 CPU 参与。这个设计初衷是完全合理的——当你的外接显卡、高速存储设备或采集卡需要大量数据传输时，如果每字节都要经过 CPU，性能会大打折扣。

但问题来了：DMA 的本质是”信任外设”。操作系统假设连接到 Thunderbolt 端口的设备是可信任的，因此允许它直接读写内存。攻击者利用这一点，插入一个伪装成普通 USB 设备的硬件（比如一个看起来像 U 盘的设备），就能获得对系统内存的直接访问权限。

一旦获得 DMA 访问权，攻击者可以做很多事：

• 读取内存中所有的加密数据（包括解锁的磁盘加密密钥）
• 键盘记录器——捕获你输入的所有内容
• 植入持久化后门
• 截取屏幕内容

为什么 Thunderbolt 特别危险

你可能会想：USB 设备不是也可以做类似的事情吗？是的，但 Thunderbolt 更危险。

首先，Thunderbolt 支持 PCIe 隧道技术。这意味着连接到 Thunderbolt 端口的设备在系统眼里等同于一个 PCIe 设备——它可以像网卡、显卡一样直接与内存通信。普通 USB 设备没有这个能力。

其次，Thunderbolt 的带宽极高（Thunderbolt 4 达到 40Gbps）。攻击者可以在几秒内拷贝大量数据。

第三，Thunderbolt 设备需要认证才能连接。但认证机制依赖于用户交互——当设备插入时，系统会弹出一个对话框询问是否信任此设备。如果用户在锁屏状态下，攻击者可以用一些技巧绕过这个提示。

你已经知道的防护手段

固件密码：最被低估的保护层

在 Apple Silicon Mac 上，固件密码是最有效的 DMA 攻击防护手段之一。它阻止了攻击者在启动阶段注入恶意固件，即使他们物理接触了设备。

好消息是，防护措施并不复杂。

在锁屏时禁用 Thunderbolt 端口。macOS 和 Windows 都提供了这个选项。在 macOS 中，你可以在”系统设置-隐私与安全性-输入法”中找到相关设置，或者使用命令行工具 tbtadm 来控制 Thunderbolt 权限。Windows 11 也在BIOS/UEFI设置中提供了Thunderbolt安全选项。

启用固件密码。这可以防止攻击者在启动阶段注入恶意固件。Apple Silicon Mac 的固件密码机制尤其有效，因为它在芯片层面就阻止了未授权的启动。

使用外部存储加密。即使攻击者通过 DMA 读取了你的内存，如果他们拿不到加密密钥，也无法解密你的数据。FileVault（macOS）和 BitLocker（Windows）都提供全盘加密。

物理保护。最基本的措施：不要在公共场合让电脑脱离视线，使用 Kensington 锁固定笔记本电脑，考虑使用端口锁盖。

一个被忽视的场景：酒店和共享办公空间

你可能认为 DMA 攻击只针对高价值目标。但实际情况更复杂。

共享办公空间和酒店房间里，你的电脑可能放在桌上过夜。攻击者不需要 sophisticated 的技术——只需要一个便宜的 FPGA 开发板和一根 Thunderbolt 线缆，就能在几分钟内完成攻击。

更令人担忧的是，这类攻击的取证痕迹很少。普通的杀毒软件和系统日志可能根本检测不到 DMA 攻击的发生。当你发现异常时，数据可能已经被拷贝走了很久。

平衡安全与便利

我知道这些建议听起来有些麻烦。毕竟我们买 Mac 或高端 Windows 笔记本，部分原因就是因为它们的易用性和开放性。Thunderbolt 端口的便利性是真实存在的价值。

但我建议采取一种分层的策略：

日常使用时，保持 Thunderbolt 端口的正常功能。但在以下场景加强防护：

• 旅行时：使用端口锁盖，锁屏时禁用 Thunderbolt
• 公共场合：不要让电脑脱离视线，开启固件密码
• 处理敏感数据时：考虑物理隔离的外设

安全从来不是零和博弈。你不需要为了安全而放弃所有便利，只需要在风险最高的场景下采取适当的防护措施。

Thunderbolt DMA 攻击不是一个新的威胁——它已经被研究了十几年。但大多数普通用户仍然不知道它的存在。了解风险本身，就是自我保护的第一步。