Plundervolt — нов метод на атака на процесорите Intel, засягащ технологията SGX

Компания Intel пусна обновяване на микрокода, което премахва уязвимост (CVE-2019-14607), което позволява чрез манипулации с механизма за динамично управление на напрежение и честота в CPU да иницира повреда на съдържанието на клетките с данни, включително в области, използвани при изчисления в изолирани анклави Intel SGX. Атаката получи името Plundervolt и потенциално позволява на локален потребител да повиши привилегиите си в системата, да предизвика отказ в обслужването и да получи достъп до закритите данни.

Атаката представлява опасност само в контекста на манипулации с изчисления в анклавите SGX, тъй като за нейното извършване са необходими права root в системата. В простия случай атакуващият може да предизвика изкривяване на информацията, обработвана в анклава, но при по-сложни сценарии не може да бъде изключена възможността за възстановяване на съхранените в анклава закрити ключове, използвани за криптиране с алгоритми RSA-CRT и AES-NI. Техниката може също да бъде използвана за генериране на грешки в първоначално коректни алгоритми, за да се предизвикат уязвимости при работа с паметта, например за организиране на достъп до области извън пределите на заделен буфер.
Прототип на кода за извършване на атаката публикуван на GitHub

Същността на метода е създаването на условия за възникване на непредвидени изкривявания на данни при изчисленията в SGX, от които защитата чрез криптиране и автентикация на паметта в анклава не предпазва. За да се внесат изкривявания, се оказа, че е възможно да се използват стандартни програмни интерфейси за управление на честотата и напрежението, обикновено прилагани за намаляване на енергийното потребление по време на празен ход на системата и активиране на максимална производителност при интензивна работа. Характериските на честотата и напрежението покриват целия чип, включително влияят на изпълнението на изчисленията в изолирания анклав.

Чрез промяна на напрежението, могат да се създадат условия, при които заряда не е достатъчен за регенерация на клетката в паметта вътре в CPU, и стойността ѝ се променя. Ключовото различие от атаката RowHammer е това, което RowHammer позволява да се промени съдържанието на отделни битове в паметта DRAM, чрез циклично четене на данни от съседни клетки, докато Plundervolt позволява промяна на битовете вътре в CPU, когато данните вече са заредени от паметта за извършване на изчисления. Тази особеност позволява да се заобиколят механизмите за контрол на целостта и шифроване на данните в паметта, използвани в SGX, тъй като стойностите в паметта остават коректни, но могат да бъдат изкривени при операции с тях, преди резултатът да бъде записан в паметта.

Ако това изменено значение се използва в процеса на умножение по време на шифроването, на изхода получаваме некоректен шифротекст. Имайки възможност да се обърне към обработчика в SGX за шифроване на своите данни, атакуващият може, предизвиквайки сблъсъци, да натрупа статистика за промяната на шифротекста на изхода и за няколко минути да възстанови стойността на съхранявания в анклава ключ. Първоначалният текст на входа и коректният шифротекст на изхода са известни, ключът не се променя, а изходът на некоректния шифротекст свидетелства за изкривяване на някой бит на противоположната стойност.

След като анализираме натрупаните при различни сблъсъци двойки стойности на коректни и изкривени шифротекстове, чрез методи за диференциален анализ на сблъсъци (DFA, Достоверен анализ на грешки) можем да предскажем вероятните ключове, използвани за симетрично шифроване AES, а след това, анализирайки пресечените ключове в различни набори, да определим търсения ключ.

Проблемът засяга различни модели на Intel процесори, включително CPU Intel Core от 6
до 10 поколение, както и пета и шеста генерация Xeon E3, първата и втората генерация Intel Xeon Scalable, Xeon D,
Xeon W и Xeon E.

Напомняме, че технологията SGX (Разширения за защитени софтуерни среди) се появи в процесорите Intel Core от шестото поколение (Skylake) и предлага серии инструкции, които позволяват на приложенията на потребителско ниво да отделят защитени области на паметта - енклави, чийто съдържание не може да бъде прочетено или променяно дори от ядрото и код, който работи в режимите ring0, SMM и VMM. Преместването на управление към кода в енклава не е възможно с традиционни функции за пренасяне и манипулации с регистри и стек - за прехвърляне на управлението в енклава се използва специално създадена нова инструкция, която извършва проверка на правомощията. В същото време, кодът, поставен в енклава, може да използва класически методи за извикване на функции вътре в енклава и специална инструкция за извикване на външни функции. За защита от хардуерни атаки, като свързване към модул DRAM, се прилага криптиране на паметта на енклава.

Източник: opennet.ru