Реализацията на DDIO в чиповете на Intel допуска мрежова атака чрез определяне на натисканията на клавиши в SSH сесия

Група изследователи от Свободния университет в Амстердам и Швейцарската висша техническа школа в Цюрих разработиха техника за мрежова атака NetCAT (Network Cache ATtack), която позволява, използвайки методи за анализ на данни чрез странични канали, дистанционно да определя клавишите, натискани от потребителя по време на работа в сесия SSH. Проблемът се проявява само на сървъри, в които се използват технологии RDMA (Remote direct memory access) и DDIO (Data-Direct I/O).

Компания Intel смята, което прави атаката трудно реализируема на практика, тъй като изисква достъп на атакуващия до локалната мрежа, стерилни условия и организация на връзката между хостовете с използване на технологии RDMA и DDIO, които обикновено се прилагат в изолирани мрежи, например, в които работят изчислителни клъстери. Проблемът е класифициран с незначителен риск (CVSS 2.6, CVE-2019-11184) и е дадена препоръка да не се включват DDIO и RDMA в локални мрежи, в които не е осигурен периметър на сигурност и е разрешено свързването на ненадеждни клиенти. DDIO се използва в сървърни процесори Intel от 2012 г. насам (Intel Xeon E5, E7 и SP). Системите, базирани на процесори AMD и други производители, не са податливи на проблема, тъй като не поддържат запазването на данни, предавани през мрежата, в кеша на CPU.

Използваният метод за атака напомня на уязвимостта "Throwhammer" позволяваща да се променя съдържанието на отделни битове в RAM чрез манипулиране с мрежови пакети в системи с RDMA. Новият проблем е следствие от усилията за минимизиране на закъсненията при прилагане на механизма DDIO, който осигурява директно взаимодействие между мрежовата карта и други периферни устройства с кеша на процесора (по време на обработка на пакети от мрежовата карта, данните се запазват в кеша и се извличат от кеша, без да се извършва достъп до паметта).

Благодарение на DDIO в кеша на процесора попадат и данни, генерирани по време на зловредна мрежова активност. Атаката NetCAT се базира на това, че мрежовите карти активно кешират данни, а скоростта на обработка на пакети в съвременните локални мрежи е достатъчна, за да влияе на запълването на кеша и да определи наличието или отсъствието на данни в кеша чрез анализ на закъсненията при предаване на данни.

При използването на интерактивни сесии, например през SSH, мрежовият пакет се изпраща непосредствено след натискане на клавиш, т.е. закъсненията между пакетите корелират със закъсненията между натисканията на клавишите. Използвайки методи на статистически анализ и като се вземе предвид, че закъсненията между натисканията обикновено зависят от позицията на клавиша на клавиатурата, е възможно с определена вероятност да се възпроизвежда въведената информация. Например, повечето хора обикновено пишат „s“ след „a“ значително по-бързо, отколкото „g“ след „s“.

Информацията, която остава в кеша на процесора, също така позволява да се оценява точният момент на пакетите, изпратени от мрежовата карта при обработка на такъв тип връзки като SSH. Генерирайки определен поток трафик, нападателят може да определи момента на появата на нови данни в кеша, свързани с определена активност в системата. За анализа на съдържанието на кеша се използва методът Prime+Probe, който предполага запълване на кеша с еталонен набор от стойности и измерване на времето за достъп до тях при повторно запълване, за да се определят промените.

Не се изключва прилагането на предложената техника за определяне не само на натисканията на клавиши, но и на други типове конфиденциални данни, които остават в кеша на CPU. Потенциално атаката може да бъде проведена и при изключен RDMA, но без RDMA нейната ефективност намалява, а изпълнението става значително по-сложно. Също така е възможно използването на DDIO за организиране на скрит канал за връзка, използван за предаване на данни след компрометиране на сървера, за да се заобиколят системи за осигуряване на безопасност.

Източник: opennet.ru