Реализацията на DDIO в чиповете Intel допуска мрежова атака чрез определяне на натискане на клавиши в сесия SSH.

Група изследователи от Свободния университет в Амстердам и Швейцарския федерален института по технологии в Цюрих разработиха техника за мрежова атака NetCAT (Network Cache ATtack), която позволява, използвайки методи за анализ на данни през странични канали, отдалечено да определя клавишите, натискащи от потребителя по време на работа в сесия SSH. Проблемът се проявява само на сървъри, при които са приложени технологии RDMA (Remote direct memory access) и DDIO (Data-Direct I/O).

Компанията Intel счита, което прави атаката трудна за реализиране на практика, тъй като изисква достъп на атакуващия до локалната мрежа, стерилни условия и организация на свързването на хостовете с използване на технологии RDMA и DDIO, които обикновено се прилагат в изолирани мрежи, например, в които работят изчислителни клъстери. Проблемът е оценен с незначителен риск (CVSS 2.6, CVE-2019-11184) и е дадено препоръка да не се включва DDIO и RDMA в локални мрежи, където не е осигурен периметър на сигурността и се допуска свързване на ненадеждни клиенти. DDIO се използва в сървърни процесори Intel от 2012 г. (Intel Xeon E5, E7 и SP). Системите, базирани на процесори AMD и други производители, не са подложени на проблема, тъй като не поддържат задържане на предавани по мрежата данни в кеша на CPU.

Методът, използван за атака, напомня на уязвимостта "Throwhammer", която позволява да се променя съдържанието на отделни битове в RAM чрез манипулация с мрежови пакети в системи с RDMA. Новият проблем е следствие от усилията за минимизиране на забавянията при употреба на механизма DDIO, осигуряващ директно взаимодействие между мрежовата карта и други периферни устройства с кеша на процесора (в процеса на обработка на мрежовите пакети, данните се съхраняват в кеша и се извлекат от кеша, без да се влиза в паметта).

Благодарение на DDIO в кеша на процесора попадат и данни, генерирани в процеса на злонамерена мрежова активност. Атаката NetCAT се основава на това, че мрежовите карти активно кешират данни, а скоростта на обработка на пакетите в съвременните локални мрежи е достатъчна, за да повлияе на запълването на кеша и да определи наличието или отсъствието на данни в кеша чрез анализ на закъсненията при предаване на данни.

При използване на интерактивни сесии, например чрез SSH, мрежовият пакет се изпраща непосредствено след натискане на клавиша, т.е. закъсненията между пакетите съответстват на закъсненията между натисканията на клавишите. Използвайки методи за статистически анализ и имайки предвид, че закъсненията между натисканията обикновено зависят от разположението на клавиша на клавиатурата, може с определена вероятност да се възстанови въведената информация. Например, повечето хора обикновено пишат „s“ след „a“ значително по-бързо, отколкото „g“ след „s.“

Информацията, която остава в кеша на процесора, позволява също да се съди за точното време на пакетите, изпратени от мрежовата карта при обработка на такива връзки като SSH. Генерирайки определен поток трафик, атакуващият може да определи момента на появата на нови данни в кеша, свързани с определена активност в системата. За анализа на съдържанието на кеша се използва методът Prime+Probe, който предполага запълване на кеша с еталонен набор от стойности и измерване на времето за достъп до тях при повторно запълване за определяне на промените.

Не се изключва прилагането на предложената техника за определяне не само на натисканията на клавиши, но и на други типове конфиденциални данни, оставащи в кеша на CPU. Потенциално атаката може да бъде извършена и при изключен RDMA, но без RDMA ефективността й се намалява, а изпълнението е значително усложнено. Също така е възможно използването на DDIO за организиране на скрит канал за комуникация, използван за предаване на данни след компрометиране на сървъра, заобикаляйки системите за осигуряване на безопасност.

Източник: opennet.ru