Eine Gruppe von Forschern der Universitäten Texas, Illinois und Washington hat Informationen über eine neue Familie von Seitenkanalangriffen (CVE-2022-23823, CVE-2022-24436) mit dem Codenamen Hertzbleed veröffentlicht. Die vorgeschlagene Angriffsmethode basiert auf den Eigenschaften des dynamischen Frequenzmanagements in modernen Prozessoren und betrifft alle aktuellen Intel- und AMD-CPUs. Potenziell könnte das Problem auch in Prozessoren anderer Hersteller auftreten, die dynamische Frequenzänderungen unterstützen, wie beispielsweise in ARM-Systemen. Die durchgeführte Untersuchung beschränkte sich jedoch auf Chips von Intel und AMD. Die Quelltexte zur Implementierung der Angriffsmethode wurden auf GitHub veröffentlicht (die Implementation wurde auf einem Computer mit einem Intel i7-9700 CPU getestet).
Um den Energieverbrauch zu optimieren und Überhitzung zu vermeiden, passen Prozessoren ihre Frequenz dynamisch an die Auslastung an. Dies führt zu Schwankungen in der Leistung und beeinflusst die Ausführungszeit von Operationen (eine Frequenzänderung um 1 Hz führt zu einer Änderung der Leistung um 1 Takt pro Sekunde). In einer durchgeführten Studie wurde festgestellt, dass unter bestimmten Bedingungen bei AMD- und Intel-Prozessoren die Frequenzänderung direkt mit den verarbeiteten Daten korreliert. Dies führt zum Beispiel dazu, dass die Berechnungszeit der Operationen „2022 + 23823“ und „2022 + 24436“ unterschiedlich ist. Basierend auf der Analyse der Unterschiede in den Ausführungszeiten von Operationen mit unterschiedlichen Daten kann indirekt die bei den Berechnungen verwendete Information rekonstruiert werden. In Hochgeschwindigkeitsnetzwerken mit vorhersehbaren konstanten Latenzen kann ein Angriff aus der Ferne durchgeführt werden, indem die Ausführungszeiten der Anfragen bewertet werden.
Wenn eine Attacke erfolgreich ist, ermöglichen die identifizierten Probleme die Bestimmung von Schlüsseln auf der Grundlage der Analyse von Berechnungszeiten in kryptographischen Bibliotheken, die Algorithmen verwenden, deren mathematische Berechnungen immer in konstanter Zeit durchgeführt werden, unabhängig von der Art der verarbeiteten Daten. Solche Bibliotheken galten als sicher gegen Seitenkanalangriffe, aber wie sich herausstellte, wird die Berechnungszeit nicht nur vom Algorithmus bestimmt, sondern auch von den Besonderheiten der CPU-Arbeit.
Als praktisches Beispiel, das die Realisierbarkeit der vorgeschlagenen Methode zeigt, wurde ein Angriff auf die Implementierung des Schlüsselinkapselierungsmechanismus SIKE (Supersingular Isogeny Key Encapsulation) demonstriert. Dieser Mechanismus wurde in das Finale des Wettbewerbs um post-quantenkryptografische Systeme des National Institute of Standards and Technology (NIST) aufgenommen und wird als sicher gegen Angriffe über Seitenkanäle positioniert. Im Rahmen des Experiments gelang es mit einer neuen Variante des Angriffs, basierend auf einem selektiven Chiffretext (schrittweise Heranführung unter Einsatz von Manipulationen am verschlüsselten Text zur Erlangung seiner Entschlüsselung), den verwendeten Schlüssel vollständig zu rekonstruieren. Dies wurde über ein entferntes System vorgenommen, trotz der Verwendung einer SIKE-Implementierung mit konstanten Berechnungszeiten. Die Bestimmung eines 364-Bit-Schlüssels unter Nutzung der CIRCL-Implementierung erforderte 36 Stunden, während die PQCrypto-SIDH-Implementierung 89 Stunden in Anspruch nahm.
Die Unternehmen Intel und AMD haben die Anfälligkeit ihrer Prozessoren anerkannt, planen jedoch nicht, die Schwachstelle durch ein Mikrocode-Update zu beheben, da sie ohne signifikante Auswirkungen auf die Leistung hardwareseitig nicht behoben werden kann. Stattdessen wurden den Entwicklern von Krypto-Bibliotheken Empfehlungen zur Softwareblockierung von Informationslecks während vertraulicher Berechnungen gegeben. Die Unternehmen Cloudflare und Microsoft haben bereits einen solchen Schutz in ihre Implementierungen von SIKE integriert, was zu einer Leistungsminderung von CIRCL um 5 % und von PQCrypto-SIDH um 11 % führte. Eine weitere Möglichkeit, die Schwachstelle im BIOS oder im Treiber zu blockieren, besteht darin, die Modi "Turbo Boost", "Turbo Core" oder "Precision Boost" zu deaktivieren, jedoch würde dies zu einem drastischen Leistungsabfall führen.
Die Unternehmen Intel, Cloudflare und Microsoft wurden im dritten Quartal 2021 über das Problem informiert, während AMD im ersten Quartal 2022 benachrichtigt wurde. Auf Bitten von Intel wurde die öffentliche Bekanntgabe des Problems jedoch bis zum 14. Juni 2022 verschoben. Das Vorhandensein des Problems wurde in Prozessoren für Desktop-Systeme und Laptops auf Basis der 8. bis 11. Generation der Intel Core Mikroarchitektur sowie in verschiedenen Desktop-, Mobil- und Serverprozessoren von AMD Ryzen, Athlon, A-Series und EPYC bestätigt (die Forscher demonstrierten die Methode an einem Ryzen-CPU mit der Zen 2 und Zen 3 Mikroarchitektur).
Quelle: opennet.ru
