{"id":102321,"date":"2021-11-18T21:36:40","date_gmt":"2021-11-18T19:36:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/predlozhen-metod-ataki-dlya-udalyonnogo-opredeleniya-fragmentov-pamyati-na-servere"},"modified":"2021-11-18T21:36:40","modified_gmt":"2021-11-18T19:36:41","slug":"predlozhen-metod-ataki-dlya-udalyonnogo-opredeleniya-fragmentov-pamyati-na-servere","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/predlozhen-metod-ataki-dlya-udalyonnogo-opredeleniya-fragmentov-pamyati-na-servere","title":{"rendered":"Eine Angriffsart zur Fernbestimmung von Speicherfragmenten auf dem Server vorgeschlagen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Eine Forschergruppe der Technischen Universit\u00e4t Graz (\u00d6sterreich), die zuvor f\u00fcr die Entwicklung der Angriffe MDS, NetSpectre, Throwhammer und ZombieLoad bekannt war, hat eine neue Angriffsmethode (CVE-2021-3714) \u00fcber Seitenkan\u00e4le auf den Mechanismus der Speicherdeduplication ver\u00f6ffentlicht, die es erm\u00f6glicht, das Vorhandensein bestimmter Daten im Speicher zu erkennen, byteweise Speicherinhalte zu leaken oder das Speicherlayout zur Umgehung von Adressrandomisierungsschutz (ASLR) zu bestimmen. Im Gegensatz zu fr\u00fcheren Angriffsmethoden auf den Deduplication-Mechanismus unterscheidet sich diese neue Methode dadurch, dass die Angriffe von einem externen Host aus durchgef\u00fchrt werden, wobei die \u00c4nderung der Antwortzeiten auf die vom Angreifer gesendeten Anfragen \u00fcber die Protokolle HTTP\/1 und HTTP\/2 als Kriterium verwendet wird. Die M\u00f6glichkeit zur Durchf\u00fchrung des Angriffs wurde f\u00fcr Server auf Basis von Linux und Windows demonstriert. <\/p>\n
Angriffe auf den Mechanismus der Speicherdeduplication nutzen die Zeitdifferenz bei der Verarbeitung von Schreiboperationen als Kanal zum Leaken von Informationen, wenn die \u00c4nderung der Daten zu einer Klonierung der deduplizierten Speicherseite mithilfe des Copy-On-Write (COW)-Mechanismus f\u00fchrt. W\u00e4hrend des Betriebs erkennt der Kernel identische Speicherseiten von verschiedenen Prozessen und kombiniert sie, indem er identische Speicherseiten in einen Bereich des physischen Speichers zusammenf\u00fchrt, um nur eine Kopie zu speichern. Wenn ein Prozess versucht, Daten, die mit den deduplizierten Seiten verbunden sind, zu \u00e4ndern, tritt eine Ausnahme (page fault) auf, und mithilfe des Copy-On-Write-Mechanismus wird automatisch eine separate Kopie der Speicherseite erstellt, die dem Prozess zugeordnet wird. Das Kopieren erfordert zus\u00e4tzliche Zeit, was ein Hinweis auf die \u00c4nderung von Daten ist, die sich mit einem anderen Prozess \u00fcberschneiden. <\/p>\n
Die Forscher zeigten, dass die durch den COW-Mechanismus verursachten Verz\u00f6gerungen nicht nur lokal erfasst werden k\u00f6nnen, sondern auch durch die Analyse der \u00c4nderung der Netzwerkantwortzeiten. Es wurden mehrere Methoden zur Erkennung von Speicherinhalten von einem entfernten Host durch die Analyse der Ausf\u00fchrungszeiten von Anfragen \u00fcber die Protokolle HTTP\/1 und HTTP\/2 vorgeschlagen. Zur Aufrechterhaltung der generierten Muster werden typische Web-Anwendungen verwendet, die Informationen aus den eingehenden Anfragen im Speicher speichern. <\/p>\n
![\"Eine](\"\/wp-content\/uploads\/2021\/11\/bc8908cb0105a0b745b05424ec66756e.jpg\")
<\/center> <\/p>\n