Chips kan i sagens natur være sårbare over for Spectre- og Meltdown-angreb

Songsak Wilairit / EyeEm

Ondsindet software repræsenterer en vedvarende trussel mod det moderne liv og angriber alt fra databaser og kameraer til e-handel, kraftværker og hospitaler. I sine mere lumske former kan malware stjæle følsomme oplysninger, uden at nogen ved, at der har fundet en lækage sted.

Kampen mod disse angreb hviler på en vigtig antagelse: at passende kraftfuld og veldesignet software kan garantere sikkerheden af ​​enhver information. Faktisk er store cybersikkerhedsvirksomheder baseret på denne idé.

Men i dag siger Ross McIlroy og kolleger hos Google, at denne antagelse er farligt forkert. Deres arbejde fokuserer på en ny generation af ondsindede angreb, der har tvunget dem til at genoverveje arten af ​​cybersikkerhed, og hvordan den fungerer.

De nye angreb, kendt som Spectre og Meltdown, er blevet undersøgt siden begyndelsen af ​​2018. Men deres bredere betydning er først nu ved at blive klar.

Googles chokerende opdagelse er, at de udnytter en grundlæggende fejl i den måde, informationsbehandlere arbejder på. Og på grund af dette vil sikkerhedseksperter muligvis aldrig være i stand til at beskytte disse enheder – heller ikke i princippet.

Google-teamet siger, at truslen påvirker alle chipproducenter, inklusive Intel, ARM, AMD, MIPS, IBM og Oracle. Denne klasse af fejl er dybere og mere udbredt end måske nogen sikkerhedsbrist i historien, hvilket påvirker milliarder af CPU'er i produktion på tværs af alle enhedsklasser, siger McIlroy og co.

Tidligere har malware haft en tendens til at udnytte dårligt designet kode og de fejl, den indeholder. Disse fejl giver ondsindede aktører måder at forstyrre beregninger eller få adgang til fortrolig information. Så en vigtig tilgang er at rette disse fejl med softwarerettelser, før de kan udnyttes.

Men når fejlen er i grundlaget for computerdesign, tilbyder softwarepatches ringe beskyttelse. Udfordringen er, at selve beregningens natur tillader information at lække via mekanismer kaldet sidekanaler.

Et eksempel på en sidekanal er de blinkende lys på et modem, en router eller endda en pc. Forskellige sikkerhedsforskere har påpeget, at blinkingen er korreleret med dataoverførsel, og at en ondsindet aktør blot kan se blinkene for at aflytte. Sikkerhedsforskere har faktisk demonstreret lignende angreb med en forvirrende række sidekanaler, herunder energiforbrug, mikrofoner og højopløselige kameraer.

Den nye trussel er mere lumsk, fordi den eksisterer i grænsefladen mellem hardware og software, kendt som maskinarkitekturen. På dette niveau behandler en processor alle programmeringssprog på samme måde. Den udfører kommandoer efter hinanden uden hensyntagen til hvilket program, der anmodede om dem.

Dataloger har altid antaget, at disse kommandoer kan adskilles på en måde, der garanterer fortrolighed. Tanken er, at noget passende avanceret software burde være i stand til at samle kommandoerne på en måde, der holder dem adskilt.

Men Google-teamets nøgleresultat er at vise, at denne antagelse er forkert. En processor kan ikke kende forskel på en god kommando og en ondsindet - heller ikke i princippet. Så hvis en kommando fortæller den at sende information til et område af hukommelsen, der nemt kan tilgås senere, adlyder maskinen.

Det er let at forestille sig, at dette kan forhindres med software, der adskiller gode kommandoer fra dårlige. Men Google-teamet viser, at dette blot tilføjer endnu et lag af kompleksitet til udfordringen sammen med et nyt sæt potentielle sidekanaler.

For at vise truslens allestedsnærværende konstruerede Google-teamet en universel læsegadget. Dette er den ultimative aflytning – en rutine, der kan læse al adresserbar hukommelse i en processor, ukendt for brugeren.

Det er på ingen måde et perfekt stykke software. Det fungerer nogle gange sandsynligt og kan derfor mislykkes. Men der er ingen måde at forhindre det i at virke, når det gør det.

McIlroy og co skabte fire varianter af denne gadget. Vi udviklede proofs of concept i C++, JavaScript og WebAssembly for alle de rapporterede sårbarheder, siger teamet. De fandt ud af, at disse læste gadgets lækkede information med hastigheder på op til 2,5 kilobyte i sekundet.

Variant 4 af den universelle læsegadget er særligt bekymrende. McIlroy og co siger, at de ikke var i stand til at finde en effektiv måde at bekæmpe det på eller reducere dets trussel på. Vi mener ikke, at variant 4 effektivt kan afbødes i software, siger de.

Holdets forsøg på at bekæmpe disse angreb havde en betydelig indflydelse på computerens ydeevne. For eksempel førte en form for afbødning for den første variant af den universelle læse-gadget til en 2,8X opbremsning, som målt af et Java-benchmarking-program kaldet Octane.

I løbet af det sidste år har Intel redesignet sine chips i et forsøg på at afbøde de mest alvorlige trusler fra Spectre og Meltdown-angreb. Men dette er angiveligt sket på bekostning af et præstationsfald på op til 14%. Og det er usandsynligt, at ændringerne er fejlsikre.

En grund til Googles bekymring er truslen mod e-handel. Det er ikke svært at forestille sig et angreb, der afslører de kryptografiske nøgler, der bruges til at sikre transaktioner, og derved tillader tyveri i stor skala.

Så virksomheden har allerede sendt versioner af Chrome med de første forsvarslinjer. Udgivelser 64 til 67 forhindrer angreb i browseren via JavaScript.

Men truslen går meget dybere. Mange af problemerne opstår på grund af den komplekse arkitektur af enheder baseret på intellektuel ejendom, som er nøje beskyttet.

Denne kompleksitet er i sig selv en del af problemet. Designene er baseret på abstrakte modeller, der er blevet mere komplekse, efterhånden som producenterne har forfulgt målet om hurtigere beregning. McIlroy og co viser, at disse abstrakte modeller altid har sidekanaler, der eksisterer uden for modellen. Vi har opdaget, at upålidelig kode kan konstruere en universel læsegadget til at læse al hukommelse i det samme adresserum gennem sidekanaler, siger de. Dette sætter vilkårlige data i hukommelsen i fare, selv data 'i hvile', som ikke i øjeblikket er involveret i beregninger og tidligere blev betragtet som sikre mod sidekanalangreb.

Der er dog lidt gode nyheder. Indtil videre er der ingen kendte angreb, der udnytter Spectre eller Meltdown. I øjeblikket er truslen begrænset til laboratorier af cybersikkerhedsforskere som McIlroy og hans kolleger.

Men det giver lidt komfort til chipproducenter og sikkerhedseksperter. Det er ikke svært at forestille sig, at ondsindede aktører – inklusive statssponsorerede teams – kan udvikle måder at udnytte denne sårbarhed på. Dette er et problem, som McIlroy og co siger, der ser ud til at forfølge os i lang tid.

Ref: arxiv.org/abs/1902.05178 : Spectre er kommet for at blive: En analyse af sidekanaler og spekulativ udførelse

skjule