Eine Gruppe von Forschern der Universitäten Texas, Illinois und Washington hat Informationen über eine neue Familie von Seitenausgangsangriffen (CVE-2022-23823, CVE-2022-24436) veröffentlicht, die den Code-Namen Hertzbleed trägt. Die vorgeschlagene Angriffsmethode basiert auf den Besonderheiten der dynamischen Frequenzregelung in modernen Prozessoren und betrifft alle aktuellen CPU-Modelle von Intel und AMD. Potenziell könnte das Problem auch in Prozessoren anderer Hersteller auftreten, die dynamische Frequenzänderungen unterstützen, beispielsweise in ARM-Systemen. Die durchgeführte Untersuchung beschränkte sich jedoch auf die Überprüfung von Intel- und AMD-Chips. Die Quelltexte zur Implementierung der Angriffsmethode sind auf GitHub veröffentlicht (Implementierung wurde auf einem Computer mit einer Intel i7-9700 CPU getestet).
Um den Energieverbrauch zu optimieren und Überhitzung zu vermeiden, ändern Prozessoren dynamisch die Frequenz in Abhängigkeit von der Last, was zu Änderungen der Leistung führt und die Ausführungszeit von Operationen beeinflusst (eine Frequenzänderung um 1 Hz führt zu einer Änderung der Leistung um 1 Takt pro Sekunde). Im Rahmen der durchgeführten Untersuchung wurde festgestellt, dass unter bestimmten Bedingungen bei AMD- und Intel-Prozessoren die Frequenzänderung direkt mit den verarbeiteten Daten korreliert, was beispielsweise dazu führt, dass die Berechnungszeit der Operationen „2022 + 23823“ und „2022 + 24436“ unterschiedlich ist. Anhand der Analyse von Unterschieden in der Ausführungszeit bei verschiedenen Daten kann indirekt die Informationen rekonstruiert werden, die bei den Berechnungen verwendet werden. In Hochgeschwindigkeitsnetzwerken mit vorhersehbaren konstanten Latenzen kann der Angriff aus der Ferne durchgeführt werden, indem die Ausführungszeiten von Anfragen bewertet werden.
Bei einem erfolgreichen Angriff ermöglichen die identifizierten Probleme die Bestimmung von geheimen Schlüsseln durch die Analyse der Berechnungszeiten in Kryptographiebibliotheken, die Algorithmen verwenden, bei denen die mathematischen Berechnungen immer in konstanter Zeit erfolgen, unabhängig von der Art der verarbeiteten Daten. Solche Bibliotheken galten als vor Angriffen über Seitenausgänge geschützt, aber wie sich herausstellte, wird die Berechnungszeit nicht nur durch den Algorithmus, sondern auch durch die Eigenschaften der Arbeitsweise des Prozessors bestimmt.
Als praktisches Beispiel, das die Realisierbarkeit der Anwendung des vorgeschlagenen Verfahrens zeigt, wurde ein Angriff auf die Implementierung des Schlüsselin kapselungsmechanismus SIKE (Supersingular Isogeny Key Encapsulation) demonstriert, der ins Finale des Wettbewerbs um postquantenhafte Kryptosysteme eintrat, der vom National Institute of Standards and Technology (NIST) der USA durchgeführt wurde, und als gegen Angriffe über seitliche Kanäle geschützt gilt. Im Rahmen des Experiments gelang es, durch eine neue Variante des Angriffs basierend auf einem gezielten Chiffretext (stufenweise Auswahl durch Manipulation des verschlüsselten Textes und Erhalt seiner Entschlüsselung) den verwendeten Verschlüsselungsschlüssel vollständig wiederherzustellen, indem Messungen von einem Remote-System durchgeführt wurden, trotz der Verwendung der SIKE-Implementierung mit konstanter Berechnungszeit. Es wurden 36 Stunden für die Bestimmung eines 364-Bit-Schlüssels mit der CIRCL-Implementierung und 89 Stunden mit PQCrypto-SIDH aufgewendet.
Die Unternehmen Intel und AMD haben die Anfälligkeit ihrer Prozessoren anerkannt, planen jedoch keine Blockierung der Schwachstelle durch ein Mikrocodes-Update, da eine hardwareseitige Behebung der Schwachstelle ohne signifikante Auswirkungen auf die Leistung nicht möglich ist. Stattdessen wurden Entwicklern von Kryptographiebibliotheken Empfehlungen zur programmgesteuerten Blockierung potenzieller Informationslecks bei der Durchführung sensibler Berechnungen gegeben. Die Firmen Cloudflare und Microsoft haben bereits ähnlichen Schutz in ihre SIKE-Implementierungen integriert, was zu einem Leistungsabfall von 5 % bei CIRCL und 11 % bei PQCrypto-SIDH geführt hat. Eine andere Möglichkeit zur Blockierung der Schwachstelle besteht darin, die „Turbo Boost“, „Turbo Core“ oder „Precision Boost“-Modi im BIOS oder im Treiber abzuschalten, aber diese Änderung würde zu einem drastischen Leistungsabfall führen.
Die Unternehmen Intel, Cloudflare und Microsoft wurden im dritten Quartal 2021 über das Problem informiert, während das Unternehmen AMD im ersten Quartal 2022 informiert wurde. Auf Bitte von Intel wurde die öffentliche Bekanntgabe des Problems bis zum 14. Juni 2022 verschoben. Das Vorhandensein des Problems wurde bei Prozessoren für Desktop-Systeme und Laptops der Generationen 8-11 der Mikroarchitektur Intel Core sowie bei verschiedenen Desktop-, Mobil- und Serverprozessoren von AMD Ryzen, Athlon, A-Series und EPYC bestätigt (Forscher haben die Methode an einem Ryzen-CPU mit der Mikroarchitektur Zen 2 und Zen 3 demonstriert).
Quelle: opennet.ru
