Een groep onderzoekers van de Technische Universiteit van Graz (Oostenrijk), voorheen bekend om het ontwikkelen van aanvalsmethoden voor MDS, NetSpectre, Throwhammer en ZombieLoad, bekend gemaakt news onlangs dat ze een nieuwe zijkanaalaanvalmethode hebben ontwikkeld, met de codenaam "VOGELBEKDIER".
De aanval maakt de reconstructie mogelijk van berekende gegevens op basis van de ontvangen informatie door een niet-geprivilegieerde gebruiker via de RAPL-stroombewakingsinterface die wordt geleverd in moderne Intel (CVE-2020-8694, CVE-2020-8695) en AMD (CVE-2020-12912) processors.
Over PLATYPUS
De onderzoekers konden demonstreren hoe de Intel SGX-enclave uit de private RSA-sleutel werd geëxtraheerd gebruikt voor codering met behulp van de mbed TLS-bibliotheek, evenals de AES-sleutels die worden gebruikt voor AES-NI-codering op Linux-kernelniveau.
Bovendien heeft laat zien dat een aanval kan worden gebruikt om beschermingsmechanismen te omzeilen en parameters voor adresruimte-randomisatie (KASLR) bepalen tijdens misbruik van verschillende kwetsbaarheden.
De aanval is afhankelijk van schommelingen in het stroomverbruik van de CPU door bepaalde processorinstructies uit te voeren, verschillende operanden te verwerken en gegevens uit het geheugen op te halen, waardoor de aard van de geladen gegevens kan worden beoordeeld. In tegenstelling tot eerder ontwikkelde vergelijkbare aanvalsmethoden die spanningsfluctuaties analyseren, PLATYPUS vereist geen fysieke toegang tot de apparatuur en een oscilloscoopaansluiting, maar stelt u in staat om de RAPL-interface te gebruiken (Running Average Power Limit) beschikbaar op Intel- en AMD-processors, te beginnen met de Sandy Bridge- en Zen-families.
We profiteren van onbevoegde toegang tot de Intel RAPL-interface door het stroomverbruik van de processor bloot te leggen om gegevens af te leiden en cryptografische sleutels te extraheren.
Het probleem wordt nog verergerd door het feit dat het powercap-framework dat aan de Linux-kernel is toegevoegd, toegang biedt tot RAPL-tellers voor niet-geprivilegieerde gebruikers, waardoor het mogelijk wordt om CPU- en DRAM-verbruik bij te houden. Op Windows en macOS vereist de aanval de installatie van het Intel Power Gadget-pakket (dit pakket vereist geprivilegieerde toegang).
De aanval wordt gehinderd door de zeer lage meetresolutie, ongeëvenaard door de precisie die wordt bereikt met een oscilloscoop. RAPL kan met name metingen uitvoeren bij 20 kilohertz en gemiddelde waarden, terwijl een oscilloscoop metingen kan uitvoeren bij meerdere gigahertz. De nauwkeurigheid van RAPL bleek echter voldoende om uit de algehele instructiestroom informatie te halen over de uitvoering van herhaalde instructies met verschillende data of operanden.
De bedrijven Intel en AMD hebben bijgewerkte stuurprogrammacode voor Linux uitgebracht, waarin toegang tot RAPL is beperkt tot de rootgebruiker. De ontwikkelaars van de Xen-hypervisor hebben ook een oplossing uitgebracht die de toegang tot RAPL vanaf gastsystemen blokkeert.
Al mismo tiempo, toegangsbeperkingen zijn niet voldoende om aanvallen op enclaves te blokkeren van Intel SGX die kan worden uitgevoerd door aanvallers die geprivilegieerde toegang tot het systeem hebben verkregen.
Om u tegen deze aanvallen te beschermen, Intel heeft ook een microcode-update uitgebracht, die ook een aantal andere kwetsbaarheden verhelpt die tot datalekken kunnen leiden. In totaal loste de november-update van Intel 95 kwetsbaarheden in verschillende producten op.
Een vrij breed aanbod van Intel desktop-, mobiele en serverprocessors, te beginnen met de familie Sandy Bridge, wordt aangevallen.
Op AMD CPU-gebaseerde systemen bestaat de RAPL-interface al sinds de Zen-familie, maar Linux-kernelstuurprogramma's bieden alleen onbevoegde toegang tot AMD Rome CPU-statistieken.
De aanval kan mogelijk worden toegepast op ARM-processors, die hun eigen systemen hebben voor het verzamelen van statistieken over stroomveranderingen, en de Marvell- en Ampere-chipdrivers bieden onbevoegde toegang tot de sensoren, maar een gedetailleerde analyse van de mogelijkheid om een aanval voor dergelijke apparaten uit te voeren is niet uitgevoerd.
Tenslotte als u er meer over wilt weten over het nieuwe aanvalstype "PLATYPUS", kunt u de details bekijken In de volgende link.