Внедряването на DDIO в чиповете на Intel позволява мрежова атака за откриване на натискания на клавиши в SSH сесия

Група изследователи от Vrije Universiteit Amsterdam и ETH Zurich са разработили техника за мрежова атака NetCAT (Network Cache ATtack), който позволява, използвайки методи за анализ на данни чрез канали на трети страни, да определя дистанционно клавишите, натиснати от потребителя, докато работи в SSH сесия. Проблемът се появява само на сървъри, които използват технологии RDMA (Дистанционен директен достъп до паметта) и DDIO (Директен I/O данни).

Intel мисли, че атаката е трудно осъществима на практика, тъй като изисква достъп на атакуващия до локалната мрежа, стерилни условия и организиране на комуникация на хоста с помощта на технологиите RDMA и DDIO, които обикновено се използват в изолирани мрежи, например, в които компютрите работят клъстери. Проблемът е оценен като незначителен (CVSS 2.6, CVE-2019 11184-) и е дадена препоръка да не се активират DDIO и RDMA в локални мрежи, където не е осигурен защитен периметър и е разрешено свързването на ненадеждни клиенти. DDIO се използва в сървърните процесори на Intel от 2012 г. (Intel Xeon E5, E7 и SP). Системите, базирани на процесори от AMD и други производители, не са засегнати от проблема, тъй като не поддържат съхраняване на данни, прехвърлени по мрежата, в кеша на процесора.

Методът, използван за атаката, прилича на уязвимост "Хвърчащ чук“, което ви позволява да променяте съдържанието на отделни битове в RAM чрез манипулиране на мрежови пакети в системи с RDMA. Новият проблем е следствие от работата за минимизиране на закъсненията при използване на механизма DDIO, който осигурява директно взаимодействие на мрежовата карта и други периферни устройства с кеша на процесора (в процеса на обработка на пакетите на мрежовата карта данните се съхраняват в кеша и извлечени от кеша, без достъп до паметта).

Благодарение на DDIO кешът на процесора включва и данни, генерирани по време на злонамерена мрежова активност. Атаката NetCAT се основава на факта, че мрежовите карти активно кешират данни и скоростта на обработка на пакети в съвременните локални мрежи е достатъчна, за да повлияе на запълването на кеша и да определи наличието или отсъствието на данни в кеша чрез анализиране на закъсненията по време на данни трансфер.

При използване на интерактивни сесии, като например чрез SSH, мрежовият пакет се изпраща веднага след натискане на клавиша, т.е. закъсненията между пакетите корелират със закъсненията между натисканията на клавиши. Използвайки методите за статистически анализ и като вземем предвид, че закъсненията между натисканията на клавишите обикновено зависят от позицията на клавиша на клавиатурата, е възможно да се пресъздаде въведената информация с определена вероятност. Например, повечето хора са склонни да въвеждат "s" след "a" много по-бързо, отколкото "g" след "s".

Информацията, депозирана в кеша на процесора, също позволява да се прецени точното време на пакетите, изпратени от мрежовата карта при обработка на връзки като SSH. Чрез генериране на определен поток от трафик, атакуващият може да определи момента, в който се появяват нови данни в кеша, свързани с конкретна дейност в системата. За анализ на съдържанието на кеша се използва методът Прайм+сонда, което включва попълване на кеша с референтен набор от стойности и измерване на времето за достъп до тях при повторно попълване, за да се определят промените.

Възможно е предложената техника да се използва за определяне не само на натискане на клавиши, но и на други видове поверителни данни, депозирани в кеша на процесора. Атаката потенциално може да бъде извършена дори ако RDMA е деактивиран, но без RDMA нейната ефективност е намалена и изпълнението става значително по-трудно. Също така е възможно да се използва DDIO за организиране на скрит комуникационен канал, използван за прехвърляне на данни, след като сървърът е бил компрометиран, заобикаляйки системите за сигурност.

Източник: opennet.ru