Нова атака срещу микроархитектурни структури на процесори Intel и AMD

Група изследователи от Университета на Вирджиния и Университета на Калифорния представиха нов тип атака срещу микроархитектурните структури на процесорите Intel и AMD, идентифицирани по време на обратно инженерство на недокументирани възможности на процесора. Предложеният метод за атака е свързан с използването на междинен кеш за микрооперации (micro-op cache) в процесорите, който може да се използва за извличане на информация, натрупана по време на спекулативно изпълнение на инструкции.

За целите на оптимизацията процесорът започва да изпълнява някои инструкции в спекулативен режим, без да чака предишните изчисления да завършат, и ако след това установи, че прогнозата не е оправдана, той връща операцията до първоначалното й състояние, но данните, обработени по време спекулативното изпълнение се депозира в кеш памет, чието съдържание може да бъде определено.

Отбелязва се, че новият метод значително превъзхожда атаката Spectre v1, прави атаката трудна за откриване и не се блокира от съществуващите методи за защита срещу странични канални атаки, предназначени да блокират уязвимости, причинени от спекулативно изпълнение на инструкции (например използване на на инструкцията LFENCE блокира течовете в последните етапи на спекулативното изпълнение, но не предпазва от течове през микроархитектурни структури).

Методът засяга модели процесори на Intel и AMD, пуснати след 2011 г., включително серията Intel Skylake и AMD Zen. Съвременните процесори разбиват сложните инструкции на процесора в по-прости микрооперации, подобни на RISC, които се кешират в отделен кеш. Този кеш е фундаментално различен от кешовете от по-високо ниво, не е директно достъпен и действа като буфер за поток за бърз достъп до резултатите от декодирането на CISC инструкции в RISC микроинструкции. Изследователите обаче са намерили начин да създадат условия, които възникват, когато достъпът до кеша е конфликтен, и позволяват да се прецени съдържанието на кеша на микрооперациите чрез анализиране на разликите във времето за изпълнение на определени действия.

Кешът за микрооперации в процесорите на Intel е сегментиран по отношение на нишките на процесора (Hyper-Threading), докато процесорите AMD Zen използват споделен кеш, което създава условия за изтичане на данни не само в рамките на една нишка за изпълнение, но и между различни нишки в SMT (възможно изтичане на данни между код, работещ на различни логически процесорни ядра).

Изследователите са предложили основен метод за откриване на промени в кеша на микрооперациите и няколко сценария за атака, които позволяват създаване на скрити канали за предаване на данни и използване на уязвим код за изтичане на поверителни данни, както в рамките на един процес (например, за изтичане на данни от процеса при изпълнение на код на трети страни в двигатели с JIT и във виртуални машини), както и между ядрото и процесите в потребителското пространство.

При организирането на вариант на атаката Spectre, използвайки кеш за микрооперации, изследователите успяха да постигнат производителност от 965.59 Kbps с процент на грешки от 0.22% и 785.56 Kbps при използване на корекция на грешки, в случай на организиране на изтичане в рамките на същия адрес пространство и ниво на привилегии. При изтичане, обхващащо различни нива на привилегии (между ядрото и потребителското пространство), производителността беше 85.2 Kbps с добавена корекция на грешки и 110.96 Kbps с процент на грешки от 4%. При атака на процесори AMD Zen, създавайки изтичане между различни логически процесорни ядра, производителността беше 250 Kbps с процент на грешки от 5.59% и 168.58 Kbps с корекция на грешки. В сравнение с класическия метод Spectre v1, новата атака беше 2.6 пъти по-бърза.

Очаква се, че защитата срещу атака на кеш на micro-op ще изисква промени, които ще намалят производителността повече, отколкото ако сте активирали защитата срещу атака на Spectre. Като оптимален компромис се предлага да се блокират такива атаки не чрез деактивиране на кеширането, а на ниво наблюдение на аномалии и идентифициране на състояния на кеша, които са типични за атаките.

Както при атаките на Spectre, организирането на теч от ядрото или други процеси изисква изпълнението на определена последователност от команди (джаджи) от страна на процесите жертва, което води до спекулативно изпълнение на инструкции. В ядрото на Linux са открити около 100 подобни приспособления, които ще бъдат премахнати, но периодично се намират заобиколни решения за тяхното генериране, например свързани с изпълнението на специално разработени BPF програми в ядрото.

Източник: opennet.ru