Eine Gruppe von Forschern der Worcester Polytechnic Institute, der Universität Lübeck und der Universität Kalifornien in San Diego eine Seitenkanalangriffsmethode entwickelt, die es ermöglicht, die Werte von geheimen Schlüsseln, die im TPM (Trusted Platform Module) gespeichert sind, wiederherzustellen. Der Angriff trägt den Codenamen und betrifft fTPM ( im Firmware-Bereich, die auf einem separaten Mikroprozessor innerhalb der CPU läuft) von Intel (CVE-2019-11090) sowie Hardware-TPMs auf STMicroelectronics-Chips (CVE-2019-16863).
Die Forscher einen Prototyp eines Tools zur Durchführung des Angriffs veröffentlicht und die Möglichkeit demonstriert, einen 256-Bit geheimen Schlüssel, der zur Erstellung digitaler Signaturen mittels elliptischer Kurvenalgorithmen wie ECDSA und EC-Schnorr verwendet wird, wiederherzustellen. Je nach Zugriffsrechten beträgt die Gesamtangriffszeit auf Intel fTPM-Systeme 4-20 Minuten und erfordert die Analyse von 1-15 Tausend Operationen. Für den Angriff auf Systeme mit dem ST33-Chip sind etwa 80 Minuten und die Analyse von rund 40 Tausend Operationen zur Generierung digitaler Signaturen erforderlich.
Forscher haben auch die Möglichkeit einer Fernangriffs in Hochgeschwindigkeitsnetzwerken demonstriert, die es ermöglichte, in einem lokalen Netzwerk mit einer Bandbreite von 1 GB unter Laborbedingungen innerhalb von fünf Stunden den privaten Schlüssel wiederherzustellen, nachdem die Antwortzeiten für 45.000 Authentifizierungssitzungen mit einem auf strongSwan-basierten VPN-Server, der seine Schlüssel in einem anfälligen TPM speichert, gemessen wurden.
Das Angriffsmuster basiert auf der Analyse von Zeitunterschieden bei der Ausführung von Operationen während der Erstellung digitaler Signaturen. Die Messung der Verzögerung bei der Durchführung von Berechnungen ermöglicht es, Informationen über einzelne Bits während der Skalar-Multiplikationsoperationen mit elliptischen Kurven zu bestimmen. Bei ECDSA ist es ausreichend, sogar nur wenige Bits mit Informationen über den Initialisierungsvektor (Nonce) zu kennen, um eine sequentielle Wiederherstellung des gesamten privaten Schlüssels durchzuführen. Für einen erfolgreichen Angriff ist die Analyse der Generierungszeiten von mehreren Tausend digitalen Signaturen notwendig, die mit den dem Angreifer bekannten Daten erstellt wurden.
Sicherheitsanfälligkeit Das Unternehmen STMicroelectronics hat in der neuen Version seiner Chips die Implementierung des ECDSA-Algorithmus von zeitbasierten Korrelationen befreit. Interessanterweise werden die betreffenden Chips von STMicroelectronics auch in Geräten verwendet, die das Sicherheitslevel CommonCriteria (CC) EAL 4+ erfüllen. Forscher haben auch die TPM-Chips von Infineon und Nuvoton überprüft, jedoch fehlen hier Leaks basierend auf der Zeitveränderung bei Berechnungen.
In Intel-Prozessoren tritt das Problem seit der Einführung der Haswell-Familie im Jahr 2013 auf. Es wird festgestellt, dass eine breite Palette von Laptops, PCs und Servern diverser Hersteller wie Dell, Lenovo und HP betroffen ist.
Intel hat einen Fix in Firmware-Update integriert, in dem zusätzlich zu dem besprochenen Problem Es gibt 24 weitere Schwachstellen, von denen neun als hochriskant und eine als kritisch eingestuft wurde. Zu den genannten Problemen wird nur allgemeine Information bereitgestellt; so wird etwa erwähnt, dass die kritische Verwundbarkeit (CVE-2019-0169) durch die Möglichkeit eines Heap-Überlaufs in den Intel CSME (Converged Security and Management Engine) und Intel TXE (Trusted Execution Engine) Umgebungen verursacht wird, was Angreifern ermöglichen kann, ihre Privilegien zu erhöhen und auf vertrauliche Daten zuzugreifen.
Auch erwähnenswert ist der Ergebnisse von Audits verschiedener SDKs zur Entwicklung von Anwendungen, die mit Code interagieren, der in isolierten Enklaven ausgeführt wird. Um problematische Funktionen zu identifizieren, die für Angriffe genutzt werden könnten, wurden acht SDKs untersucht: , , , ,
und für Intel SGX, für RISC-V und für Sancus TEE. Während des Audits wurden 35 Schwachstellen, auf deren Grundlage mehrere Angriffsszenarien entwickelt wurden, die es ermöglichen, AES-Schlüssel aus dem Enklave zu extrahieren oder die Ausführung eigenen Codes durch Schaffung von Bedingungen zur Beschädigung des Speicherinhalts zu organisieren.
Quelle: opennet.ru
