Plundervolt — нов метод на атака на процесори Intel, засягащ технологията SGX

Компанията Intel пусна обновление на микро-кода, което елиминира уязвимост (CVE-2019-14607), позволяваща чрез манипулации с механизма на динамично управление на напрежението и честотата в CPU да инициира повреждение на съдържанието на клетките с данни, включително в области, използвани при изчисления в изолирани анклави Intel SGX. Атака, наречена Plundervolt, потенциално позволява на локален потребител да повиши своите привилегии в системата, да причини отказ на обслужване и да получи достъп до закрити данни.

Атаката представлява опасност само в контекста на манипулации с изчисления в анклави SGX, тъй като за провеждането й изисква наличието на права root в системата. В най-простия случай, атакуващият може да предизвика изкривявания в информацията, обработвана в анклава, но при по-сложни сценарии не е изключено възможността за възстановяване на закритите ключове, съхранявани в анклава, използвани за криптиране с алгоритми RSA-CRT и AES-NI. Техниката може също така да се използва за генериране на грешки в първоначално коректни алгоритми, за да се провокират уязвимости при работа с паметта, например за организиране на достъп до области извън зададения буфер.
Прототип на кода за извършване на атаката беше публикуван в GitHub

Същността на метода е в създаването на условия за възникване на непредвидени изкривявания на данните при изчисления в SGX, от които не защитава приложението на криптиране и автентикация на паметта в анклава. За предизвикване на изкривявания е установено, че може да се използват стандартни програмни интерфейси за управление на честотата и напрежението, обикновено използвани за намаляване на енергийната консумация по време на неактивност на системата и активиране на максимална производителност по време на интензивни работи. Характеристиките на честотата и напрежението обхващат целия чип и влияят на изпълнението на изчисленията в изолирания анклав.

Чрез промяна на напрежението може да се създадат условия, при които заряда е недостатъчен за регенериране на клетката с памет вътре в CPU и нейното значение се променя. Ключовата разлика от атаката RowHammer е това, което RowHammer позволява да се промени съдържанието на отделни битове в паметта DRAM, чрез циклично прочитане на данни от съседни клетки, докато Plundervolt позволява да се постигне промяна на битове в процесора, когато данните вече са заредени от паметта за извършване на изчисления. Тази особеност позволява да се заобиколят механизмите за контрол на целостта и криптиране на данни в паметта, прилагани в SGX, тъй като стойностите в паметта остават коректни, но могат да се изкривят при операции с тях, преди резултатът да бъде записан в паметта.

Ако тази променена стойност се използва в процеса на умножение при криптиране, то изходният текст ще бъде некоректен шифротекст. Има възможност атакуващият да се обърне към обработвача в SGX за криптиране на своите данни, като предизвика провали и натрупа статистика за измененията в шифротекста на изхода, и за няколко минути да възстанови стойността на ключа, който се съхранява в анклава. Входният текст и коректният шифротекст на изхода са известни, ключът не се променя, а изходът на некоректен шифротекст свидетелства за изкривяване на някой бит в противоположната стойност.

Анализирайки натрупаните при различни провали двойки от коректни и изкривени шифротекстове, с помощта на методи на диференциален анализ на провалите (DFA, Differential Fault Analysis), може да се предскажат вероятни ключове, приложими за симетрично криптиране AES, а след това, анализирайки пресичанията на ключовете в различни набори, да се определи търсеният ключ.

Проблемът засяга различни модели на процесори Intel, включително CPU Intel Core от 6
до 10 поколение, както и петото и шестото поколение Xeon E3, първо и второ поколение Intel Xeon Scalable, Xeon D,
Xeon W и Xeon E.

Напомняме, че технологията SGX (Software Guard Extensions) се появи в процесорите Intel Core шесто поколение (Skylake) и предлага серия инструкции, които позволяват на приложения на ниво потребител да отделят затворени области на паметта — анклави, чието съдържание не може да бъде четено или променяно дори от ядрото и кода, изпълняващ се в режимите ring0, SMM и VMM. Предаването на управлението на кода в анклава не може да бъде извършено чрез традиционните функции за прехвърляне и манипулиране с регистри и стек — за предаване на управлението в анклава се използва специално проектирана нова инструкция, която извършва проверка на правомощията. В същото време, кодът, поставен в анклава, може да използва класическите методи за извикване за достъп до функции вътре в анклава и специална инструкция за извикване на външни функции. За защита от хардуерни атаки, като свързване с модула DRAM, се прилага криптиране на паметта на анклава.

Източник: opennet.ru