Skupina výzkumníků z Texaské, Illinois a Washingtonské univerzity odhalila informace o nové rodině útoků prostřednictvím bočních kanálů (CVE-2022-23823, CVE-2022-24436), které získaly kódové jméno Hertzbleed. Navržená metoda útoku je založena na vlastnostech dynamického řízení frekvence v moderních procesorech a týká se všech aktuálních CPU Intel a AMD. Potenciálně se problém může projevovat i u procesorů jiných výrobců, které podporují dynamickou změnu frekvence, například v ARM systémech, ale provedený výzkum se omezil na testování čipů Intel a AMD. Zdrojové kódy s implementací útoku byly zveřejněny na GitHubu (implementace byla testována na počítači s CPU Intel i7-9700).
Pro optimalizaci spotřeby energie a prevenci přehřátí procesory dynamicky mění frekvenci v závislosti na zátěži, což vede ke změně výkonu a ovlivňuje dobu provádění operací (změna frekvence o 1 Hz vede ke změně výkonu o 1 cyklus za sekundu). Během provedeného výzkumu bylo zjištěno, že za určitých podmínek měnění frekvence na procesorech AMD a Intel přímo koreluje s zpracovávanými daty, což například znamená, že doba výpočtu operací „2022 + 23823“ a „2022 + 24436“ se bude lišit. Na základě analýzy rozdílů v době provedení operací s různými daty lze nepřímo obnovit informace používané při výpočtech. Přitom v rychlostních sítích s předvídatelnými konstantními zpožděními lze útok provést vzdáleně, posuzováním doby provádění dotazů.
Při úspěšném provedení útoku umožňují odhalené problémy určovat tajné klíče na základě analýzy doby výpočtů v kryptografických knihovnách, které používají algoritmy, jejichž matematické výpočty jsou vždy prováděny za konstantní dobu, nezávisle na povaze zpracovávaných dat. Takové knihovny byly považovány za chráněné proti útokům prostřednictvím bočních kanálů, ale jak se ukázalo, doba výpočtu je určována nejen algoritmem, ale i vlastnostmi práce procesoru.
Jako praktický příklad, který ukazuje realistickou aplikaci navrhované metody, je demonstrován útok na implementaci mechanismu inkapsulace klíčů SIKE (Supersingular Isogeny Key Encapsulation), který se dostal do finále soutěže postkvantových kryptosystémů pořádané Národním úřadem pro standardy a technologie USA (NIST) a je prezentován jako chráněný proti útokům prostřednictvím bočních kanálů. Během experimentu pomocí nové varianty útoku založené na vybraných šifrovaných textech (postupné vybírání na základě manipulace se šifrovaným textem a získání jeho dešifrování) se podařilo zcela obnovit klíč použitý pro šifrování tím, že se měření prováděla z dálkového systému, a to i přes implementaci SIKE s konstantním časem výpočtů. Na určení 364bitového klíče s využitím implementace CIRCL bylo vynaloženo 36 hodin, zatímco na PQCrypto-SIDH 89 hodin.
Společnosti Intel a AMD přiznaly zranitelnost svých procesorů, avšak neplánují zablokovat tuto zranitelnost pomocí aktualizace mikro kódu, protože by to bez zásadního vlivu na výkon nebylo možné provést. Místo toho byly vývojářům kryptografických knihoven poskytnuty doporučení k softwarovému zablokování úniku informací během provádění důvěrného výpočtu. Společnosti Cloudflare a Microsoft již přidaly podobnou ochranu do svých implementací SIKE, což vedlo k poklesu výkonu CIRCL o 5 % a PQCrypto-SIDH o 11 %. Jako další alternativní cesta k zablokování zranitelnosti v BIOSu nebo ovladači je možné vypnout režimy „Turbo Boost“, „Turbo Core“ nebo „Precision Boost“, avšak tato změna povede k zásadnímu poklesu výkonu.
Společnosti Intel, Cloudflare a Microsoft byly o problému informovány ve třetím čtvrtletí 2021, zatímco společnost AMD v prvním čtvrtletí 2022, ale na žádost Intelu bylo veřejné zveřejnění informací o problému odloženo do 14. června 2022. Přítomnost problému byla potvrzena u procesorů pro stolní počítače a notebooky založených na 8.-11. generaci mikroarchitektury Intel Core, jakož i u různých desktopových, mobilních a serverových procesorů AMD Ryzen, Athlon, A-Series a EPYC (výzkumníci demonstrovali metodu na CPU Ryzen s mikroarchitekturou Zen 2 a Zen 3).
Zdroj: opennet.ru
