የቴክሳስ ዩኒቨርሲቲ፣ የኢሊኖይ ዩኒቨርሲቲ እና የዋሽንግተን ዩኒቨርሲቲ የተመራማሪዎች ቡድን ስለ አዲስ የጎን ቻናል ጥቃት ቤተሰብ መረጃ ይፋ አድርጓል (CVE-2022-23823፣ CVE-2022-24436)፣ ስም ኸርዝብሌድ። የታቀደው የጥቃት ዘዴ በዘመናዊ ፕሮሰሰሮች ውስጥ በተለዋዋጭ የፍሪኩዌንሲ ቁጥጥር ባህሪያት ላይ የተመሰረተ እና ሁሉንም የአሁን ኢንቴል እና AMD ሲፒዩዎችን ይጎዳል። ምናልባትም ችግሩ ከሌሎች አምራቾች በተለዋዋጭ የፍሪኩዌንሲ ለውጦችን በሚደግፉ ፕሮሰሰሮች ውስጥ ራሱን ሊገለጥ ይችላል፣ ለምሳሌ በ ARM ሲስተሞች፣ ጥናቱ ግን ኢንቴል እና ኤዲኤም ቺፖችን በመሞከር ላይ ብቻ ተወስኗል። ከጥቃቱ ዘዴ ትግበራ ጋር ምንጩ ጽሑፎች በ GitHub ላይ ታትመዋል (ትግበራው የተሞከረው ኢንቴል i7-9700 ሲፒዩ ባለው ኮምፒዩተር ላይ ነው)።
የኃይል ፍጆታን ለማመቻቸት እና ከመጠን በላይ ሙቀትን ለመከላከል, ማቀነባበሪያዎች በተለዋዋጭ ጭነቱ ላይ በመመስረት ድግግሞሹን ይቀይራሉ, ይህም በአፈፃፀም ላይ ለውጦችን ያመጣል እና የአሠራር ጊዜን ይነካል (በ 1 Hz የድግግሞሽ ለውጥ በ 1 ሰዓት ዑደት ወደ አፈፃፀም ለውጥ ያመጣል). ሁለተኛ). በጥናቱ ወቅት በ AMD እና Intel ፕሮሰሰር ላይ በተወሰኑ ሁኔታዎች ውስጥ የድግግሞሽ ለውጥ በቀጥታ ከሚሰራው መረጃ ጋር ይዛመዳል ፣ ለምሳሌ ፣ “2022 + 23823” የኦፕሬሽኖች ስሌት ጊዜ ወደ እውነታው ይመራል ። እና "2022 + 24436" የተለየ ይሆናል. ከተለያዩ መረጃዎች ጋር በአፈፃፀም ጊዜ ውስጥ ያለውን ልዩነት በመተንተን ላይ በመመርኮዝ በስሌቶች ውስጥ ጥቅም ላይ የዋለውን መረጃ በተዘዋዋሪ ወደነበረበት መመለስ ይቻላል. በተመሳሳይ ጊዜ, ሊገመቱ በሚችሉ የማያቋርጥ መዘግየቶች በከፍተኛ ፍጥነት ኔትወርኮች ውስጥ, የጥያቄዎች አፈፃፀም ጊዜን በመገመት አንድ ጥቃት በርቀት ሊከናወን ይችላል.
ጥቃቱ የተሳካ ከሆነ ተለይተው የታወቁት ችግሮች የመረጃው ባህሪ ምንም ይሁን ምን የሂሳብ ስሌቶች ሁልጊዜ በቋሚ ጊዜ የሚከናወኑባቸውን ስልተ ቀመሮች በሚጠቀሙ ክሪፕቶግራፊክ ቤተ-መጻሕፍት ውስጥ ያለውን ስሌት ጊዜ በመተንተን የግል ቁልፎችን ለመወሰን ያስችላሉ። . እንደነዚህ ያሉት ቤተ-መጻሕፍት ከጎን-ሰርጥ ጥቃቶች እንደተጠበቁ ይቆጠሩ ነበር, ነገር ግን እንደ ተለወጠ, የስሌቱ ጊዜ የሚወሰነው በአልጎሪዝም ብቻ ሳይሆን በአቀነባባሪው ባህሪያት ነው.
የታቀደውን ዘዴ የመጠቀምን አዋጭነት የሚያሳይ ተጨባጭ ምሳሌ በዩኤስ አሜሪካ በተካሄደው የድህረ-ኳንተም ክሪፕቶ ሲስተምስ ውድድር መጨረሻ ላይ የተካተተውን የSIKE (Supersingular Isogeny Key Encapsulation) ቁልፍ የማሸግ ዘዴን በመተግበር ላይ ያነጣጠረ ጥቃት ታይቷል። ብሔራዊ ደረጃዎች እና ቴክኖሎጂ ኢንስቲትዩት (NIST)፣ እና ከጎን ሰርጥ ጥቃቶች እንደተጠበቀ ሆኖ ተቀምጧል። በሙከራው ወቅት በተመረጠው የምስጢር ጽሁፍ ላይ የተመሰረተ የጥቃቱ አዲስ አይነት (ቀስ በቀስ የምስጢር ጽሑፉን በመጠቀም እና ምስጠራውን በማግኘት ላይ የተመሰረተ) በመጠቀም ከርቀት ስርዓት መለኪያዎችን በመውሰድ ለመመስጠር የሚያገለግል ቁልፍን ሙሉ በሙሉ ማግኘት ተችሏል ። በቋሚ ስሌት ጊዜ የ SIKE ትግበራን መጠቀም. የCIRCL ትግበራን በመጠቀም ባለ 364-ቢት ቁልፍን መወሰን 36 ሰአታት ፈጅቷል፣ እና PQCrypto-SIDH 89 ሰአታት ፈጅቷል።
ኢንቴል እና ኤ.ዲ.ዲ. የአቀነባባሪዎቻቸውን ለችግሩ ተጋላጭነት አምነዋል፣ ነገር ግን ተጋላጭነቱን በማይክሮኮድ ዝማኔ ለመዝጋት አላሰቡም፣ ምክንያቱም በሃርድዌር አፈጻጸም ላይ ከፍተኛ ተፅዕኖ ከሌለው በሃርድዌር ውስጥ ያለውን ተጋላጭነት ማስወገድ አይቻልም። በምትኩ፣ ምስጢራዊ ስሌቶችን በሚሰሩበት ጊዜ የምስጢር ግራፊክ ቤተ-መጽሐፍት አዘጋጆች የመረጃ ፍሰትን በፕሮግራማዊ መንገድ እንዴት ማገድ እንደሚችሉ ምክሮች ተሰጥቷቸዋል። ክላውድፍላር እና ማይክሮሶፍት በSIKE አተገባበር ላይ ተመሳሳይ ጥበቃን ጨምረዋል፣ ይህም ለ CIRCL 5% አፈፃፀም እና ለPQCrypto-SIDH 11% አፈፃፀም ተመቷል። ሌላው ተጋላጭነቱን ለመግታት መፍትሄው ቱርቦ ቦስት፣ ቱርቦ ኮር ወይም ፕሪሲዥን ማበልጸጊያ ሁነታዎችን ባዮስ ወይም ሾፌር ማሰናከል ነው፣ ነገር ግን ይህ ለውጥ የአፈጻጸም ከፍተኛ ቅነሳን ያስከትላል።
ኢንቴል፣ ክላውድፍላር እና ማይክሮሶፍት ስለ ጉዳዩ በ2021 ሶስተኛ ሩብ፣ እና AMD በ2022 የመጀመሪያ ሩብ ላይ እንዲያውቁ ተደርገዋል፣ ነገር ግን ጉዳዩን ለህዝብ ይፋ ማድረግ በIntel ጥያቄ እስከ ሰኔ 14 ቀን 2022 ዘግይቷል። የችግሩ መኖር በዴስክቶፕ እና ላፕቶፕ ፕሮሰሰር ከ8-11 ትውልድ የኢንቴል ኮር ማይክሮአርክቴክቸር እንዲሁም ለተለያዩ ዴስክቶፕ፣ ሞባይል እና ሰርቨር ፕሮሰሰሮች AMD Ryzen፣ Athlon፣ A-Series እና EPYC (ተመራማሪዎች ዘዴውን አሳይተዋል) በRyzen CPUs ላይ ከዜን ማይክሮ አርክቴክቸር 2 እና ዜን 3 ጋር)።
ምንጭ: opennet.ru