211service.com
Chips kan være iboende sårbare for Spectre- og Meltdown-angrep
Songsak Wilairit / EyeEm
Skadelig programvare representerer en pågående trussel mot det moderne liv, og angriper alt fra databaser og kameraer til e-handel, kraftstasjoner og sykehus. I sine mer lumske former kan skadelig programvare stjele sensitiv informasjon uten at noen vet at en lekkasje har funnet sted.
Kampen mot disse angrepene hviler på en viktig antagelse: at passende kraftig og godt utformet programvare kan garantere sikkerheten til all informasjon. Faktisk er enorme cybersikkerhetsbedrifter basert på denne ideen.
Men i dag sier Ross McIlroy og kolleger hos Google at denne antagelsen er farlig feil. Arbeidet deres fokuserer på en ny generasjon ondsinnede angrep som har tvunget dem til å revurdere cybersikkerhetens natur og hvordan den fungerer.
De nye angrepene, kjent som Spectre og Meltdown, har blitt studert siden tidlig i 2018. Men deres bredere betydning blir først nå klar.
Googles sjokkerende oppdagelse er at de utnytter en grunnleggende feil i måten informasjonsprosessorer fungerer på. Og på grunn av dette kan sikkerhetseksperter aldri være i stand til å beskytte disse enhetene – selv i prinsippet.
Google-teamet sier at trusselen påvirker alle brikkeprodusenter, inkludert Intel, ARM, AMD, MIPS, IBM og Oracle. Denne klassen av feil er dypere og mer utbredt enn kanskje noen sikkerhetsfeil i historien, og påvirker milliarder av CPUer i produksjon på tvers av alle enhetsklasser, sier McIlroy og co.
Tidligere har skadelig programvare hatt en tendens til å utnytte dårlig utformet kode og feilene den inneholder. Disse feilene gir ondsinnede aktører måter å forstyrre beregninger eller få tilgang til konfidensiell informasjon. Så en viktig tilnærming er å fikse disse feilene med programvareoppdateringer før de kan utnyttes.
Men når feilen ligger i grunnlaget for datadesign, tilbyr programvareoppdateringer mager beskyttelse. Utfordringen er at selve beregningens natur tillater informasjon å lekke via mekanismer som kalles sidekanaler.
Et eksempel på en sidekanal er de blinkende lysene på et modem, ruter eller til og med en PC. Ulike sikkerhetsforskere har påpekt at blinkingen er korrelert med dataoverføring og at en ondsinnet aktør ganske enkelt kan se blinkene for å avlytte. Sikkerhetsforskere har faktisk demonstrert lignende angrep med en forvirrende rekke sidekanaler, inkludert energiforbruk, mikrofoner og høyoppløselige kameraer.
Den nye trusselen er mer lumsk fordi den eksisterer i grensesnittet mellom maskinvare og programvare, kjent som maskinarkitekturen. På dette nivået behandler en prosessor alle programmeringsspråk på samme måte. Den utfører kommandoer etter hverandre uten hensyn til hvilket program som ba om dem.
Dataforskere har alltid antatt at disse kommandoene kan skilles fra hverandre på en måte som garanterer konfidensialitet. Tanken er at noe passende avansert programvare burde være i stand til å samle kommandoene på en måte som holder dem adskilt.
Men Google-teamets nøkkelresultat er å vise at denne antagelsen er feil. En prosessor kan ikke se forskjell på en god kommando og en ondsinnet kommando – selv i prinsippet. Så hvis en kommando ber den sende informasjon til et område av minnet som lett kan nås senere, adlyder maskinen.
Det er lett å forestille seg at dette kan forhindres med programvare som skiller gode kommandoer fra dårlige. Men Google-teamet viser at dette bare legger enda et lag av kompleksitet til utfordringen, sammen med et nytt sett med potensielle sidekanaler.
For å vise trusselen allestedsnærværende, konstruerte Google-teamet en universell lese-gadget. Dette er den ultimate avlyttingen – en rutine som kan lese alt adresserbart minne i en prosessor, ukjent for brukeren.
Det er på ingen måte et perfekt stykke programvare. Det fungerer noen ganger sannsynlig og kan derfor mislykkes. Men det er ingen måte å forhindre at det fungerer når det gjør det.
McIlroy og co laget fire varianter av denne dingsen. Vi utviklet proof of concept i C++, JavaScript og WebAssembly for alle rapporterte sårbarheter, sier teamet. De fant ut at disse leste gadgetene lekket informasjon med hastigheter på opptil 2,5 kilobyte per sekund.
Variant 4 av den universelle lesedingsen er spesielt bekymringsfull. McIlroy og co sier at de ikke klarte å finne en effektiv måte å bekjempe den eller redusere trusselen på. Vi tror ikke at variant 4 effektivt kan dempes i programvare, sier de.
Teamets forsøk på å bekjempe disse angrepene hadde en betydelig innvirkning på dataytelsen. For eksempel førte en form for reduksjon for den første varianten av den universelle lese-innretningen til en 2,8X nedgang, målt av et Java-benchmarking-program kalt Octane.
I løpet av det siste året har Intel redesignet sine brikker i forsøk på å dempe de alvorligste truslene fra Spectre- og Meltdown-angrep. Men dette har angivelig gått på bekostning av et ytelsesfall på opptil 14 %. Og modifikasjonene er neppe feilsikre.
En grunn til Googles bekymring er trusselen mot e-handel. Det er ikke vanskelig å forestille seg et angrep som avslører de kryptografiske nøklene som brukes til å sikre transaksjoner, og dermed tillater tyveri i stor skala.
Så selskapet har allerede sendt versjoner av Chrome med de første forsvarslinjene. Utgivelser 64 til 67 forhindrer angrep i nettleseren via JavaScript.
Men trusselen går mye dypere. Mange av problemene oppstår på grunn av den komplekse arkitekturen til enheter basert på intellektuell eiendom som er nøye bevoktet.
Denne kompleksiteten er i seg selv en del av problemet. Designene er basert på abstrakte modeller som har blitt mer komplekse ettersom produsenter har forfulgt målet om raskere beregning. McIlroy og co viser at disse abstrakte modellene alltid har sidekanaler som eksisterer utenfor modellen. Vi har oppdaget at uklarert kode kan konstruere en universell lese-gadget for å lese alt minnet i samme adresserom gjennom sidekanaler, sier de. Dette setter vilkårlige data i minnet i fare, til og med data 'i hvile' som for øyeblikket ikke er involvert i beregninger og som tidligere ble ansett som sikre mot sidekanalangrep.
Det er imidlertid litt gode nyheter. Så langt er det ingen kjente angrep som utnytter Spectre eller Meltdown. For øyeblikket er trusselen begrenset til laboratoriene til cybersikkerhetsforskere som McIlroy og hans kolleger.
Men det gir liten komfort til brikkeprodusenter og sikkerhetseksperter. Det er ikke vanskelig å forestille seg at ondsinnede aktører – inkludert statsstøttede team – kan utvikle måter å utnytte denne sårbarheten på. Dette er et problem, som McIlroy og co sier, som ser ut til å forfølge oss i lang tid.
Ref: arxiv.org/abs/1902.05178 : Spectre er her for å bli: En analyse av sidekanaler og spekulativ utførelse