Eine Gruppe von Forschern der Worcester Polytechnic Institute, der Universität Lübeck und der University of California, San Diego entwickelten eine Seitenkanalangriffsmethode, die es ermöglicht, die Werte von geheimen Schlüsseln, die im TPM (Trusted Platform Module) gespeichert sind, wiederherzustellen. Der Angriff erhielt den Codenamen und betrifft fTPM ( auf Firmware-Basis, die auf einem separaten Mikroprozessor innerhalb der CPU) von Intel (CVE-2019-11090) und die Hardware-TPMs auf STMicroelectronics-Chips (CVE-2019-16863).
Die Forscher entwickelten ein Prototyp-Werkzeug für den Angriff und demonstierten die Möglichkeit, einen 256-Bit geheimen Schlüssel, der zur Erzeugung digitaler Signaturen mithilfe von Algorithmen auf Basis elliptischer Kurven wie ECDSA und EC-Schnorr verwendet wird, wiederherzustellen. Abhängig von den Zugriffsrechten beträgt die Gesamtzeit für den Angriff auf Systeme mit Intel fTPM 4-20 Minuten und erfordert die Analyse von 1-15 Tausend Operationen. Für den Angriff auf Systeme mit dem ST33-Chip sind etwa 80 Minuten und die Analyse von rund 40.000 Operationen zur Erzeugung digitaler Signaturen erforderlich.
Die Forscher demonstrierten auch die Möglichkeit, einen Fernangriff in Hochgeschwindigkeitsnetzen durchzuführen, der es in einem lokalen Netzwerk mit einer Bandbreite von 1 GB unter Laborbedingungen ermöglichte, innerhalb von fünf Stunden den geheimen Schlüssel wiederherzustellen, nachdem die Antwortzeiten für 45.000 Authentifizierungssitzungen mit einem VPN-Server auf Basis von strongSwan, der seine Schlüssel in einem anfälligen TPM speichert, gemessen wurden.
Die Angriffsmethode basiert auf der Analyse von Zeitunterschieden bei der Durchführung von Operationen während der Generierung digitaler Signaturen. Die Bewertung der Verzögerung bei Berechnungen ermöglicht es, Informationen über einzelne Bits während der Ausführung der Multiplikation mit dem Skalar bei Operationen mit elliptischen Kurven zu bestimmen. Für ECDSA reicht es aus, auch nur einige Bits mit Informationen über den Initialisierungsvektor (Nonce) zu bestimmen, um den Angriff zur schrittweisen Wiederherstellung des gesamten geheimen Schlüssels durchzuführen. Für einen erfolgreichen Angriff ist die Analyse der Zeiten zur Generierung mehrerer Tausend digitaler Signaturen erforderlich, die mit den dem Angreifer bekannten Daten erstellt werden.
Schwachstelle Das Unternehmen STMicroelectronics hat in der neuen Version von Chips, in denen die Implementierung des ECDSA-Algorithmus von zeitlichen Korrelationen bei den Ausführungsoperationen befreit wurde. Interessanterweise sind die betroffenen Chips von STMicroelectronics auch in Geräten enthalten, die dem Sicherheitslevel von Common Criteria (CC) EAL 4+ entsprechen. Forscher haben auch die TPM-Chips von Infineon und Nuvoton überprüft, in denen es keine zeitbasierte Leckage gibt.
Bei Intel-Prozessoren tritt das Problem seit dem im Jahr 2013 veröffentlichten Haswell-Familien auf. Es wird berichtet, dass eine Vielzahl von Laptops, PCs und Servern, die von verschiedenen Herstellern, einschließlich Dell, Lenovo und HP, produziert werden, betroffen ist.
Intel hat die Korrektur in Firmware-Update integriert, in dem neben dem angesprochenen Problem noch 24 Sicherheitsanfälligkeiten enthalten sind, von denen neun als hochriskant und eine als kritisch eingestuft wird. Zu den genannten Problemen gibt es nur allgemeine Informationen. Beispielsweise wird erwähnt, dass die kritische Sicherheitsanfälligkeit (CVE-2019-0169) auf die Möglichkeit zurückzuführen ist, einen Heap-Overflow in den Intel CSME (Converged Security and Management Engine) und Intel TXE (Trusted Execution Engine) Umgebungen auszulösen, was es einem Angreifer ermöglicht, seine Privilegien zu erhöhen und Zugriff auf vertrauliche Daten zu erhalten.
Außerdem ist das Ergebnisse der Überprüfung verschiedener SDKs zur Entwicklung von Anwendungen, die mit Code interagieren, der auf isolierten Enklaven ausgeführt wird. Um problematische Funktionen zu identifizieren, die für Angriffe verwendet werden könnten, wurden acht SDKs untersucht: , , , ,
und für Intel SGX, für RISC-V und für Sancus TEE. Im Rahmen des Audits wurden 35 Schwachstellen identifiziert, auf deren Basis mehrere Angriffsszenarien entwickelt wurden, die es ermöglichen, AES-Schlüssel aus der Enklave zu extrahieren oder die Ausführung eigenen Codes durch die Schaffung von Bedingungen zur Beschädigung des Speicherinhalts zu ermöglichen.
Quelle: opennet.ru
