Eine Gruppe von Forschern der Universit\u00e4ten Texas, Illinois und Washington hat Informationen \u00fcber eine neue Familie von Seitenausgangsangriffen (CVE-2022-23823, CVE-2022-24436) ver\u00f6ffentlicht, die den Code-Namen Hertzbleed tr\u00e4gt. Die vorgeschlagene Angriffsmethode basiert auf den Besonderheiten der dynamischen Frequenzregelung in modernen Prozessoren und betrifft alle aktuellen CPU-Modelle von Intel und AMD. Potenziell k\u00f6nnte das Problem auch in Prozessoren anderer Hersteller auftreten, die dynamische Frequenz\u00e4nderungen unterst\u00fctzen, beispielsweise in ARM-Systemen. Die durchgef\u00fchrte Untersuchung beschr\u00e4nkte sich jedoch auf die \u00dcberpr\u00fcfung von Intel- und AMD-Chips. Die Quelltexte zur Implementierung der Angriffsmethode sind auf GitHub ver\u00f6ffentlicht (Implementierung wurde auf einem Computer mit einer Intel i7-9700 CPU getestet). <\/p>\n
Zur Optimierung des Energieverbrauchs und zur Vermeidung von \u00dcberhitzung passen Prozessoren ihre Frequenz dynamisch je nach Last an, was zu Ver\u00e4nderungen in der Leistung f\u00fchrt und die Ausf\u00fchrungszeiten von Operationen beeinflusst (eine \u00c4nderung der Frequenz um 1 Hz f\u00fchrt zu einer Leistungs\u00e4nderung um 1 Takt pro Sekunde). In einer durchgef\u00fchrten Studie wurde festgestellt, dass unter bestimmten Bedingungen bei AMD- und Intel-Prozessoren die Frequenz\u00e4nderung direkt mit den verarbeiteten Daten korreliert, was beispielsweise dazu f\u00fchrt, dass die Berechnungszeiten der Operationen \u201e2022 + 23823\u201c und \u201e2022 + 24436\u201c unterschiedlich sind. Anhand der Analyse der Unterschiede in den Ausf\u00fchrungszeiten von Operationen mit verschiedenen Daten l\u00e4sst sich indirekt die bei den Berechnungen verwendete Information rekonstruieren. Dabei kann in Hochgeschwindigkeitsnetzen mit vorhersehbaren konstanten Latenzen ein Angriff aus der Ferne durchgef\u00fchrt werden, indem die Ausf\u00fchrungszeiten von Anfragen bewertet werden. <\/p>\n
Bei einem erfolgreichen Angriff erm\u00f6glichen die identifizierten Probleme die Bestimmung von geheimen Schl\u00fcsseln durch die Analyse der Berechnungszeiten in Kryptographiebibliotheken, die Algorithmen verwenden, bei denen die mathematischen Berechnungen immer in konstanter Zeit erfolgen, unabh\u00e4ngig von der Art der verarbeiteten Daten. Solche Bibliotheken galten als vor Angriffen \u00fcber Seitenausg\u00e4nge gesch\u00fctzt, aber wie sich herausstellte, wird die Berechnungszeit nicht nur durch den Algorithmus, sondern auch durch die Eigenschaften der Arbeitsweise des Prozessors bestimmt. <\/p>\n
Als praktisches Beispiel, das die Realisierbarkeit der vorgeschlagenen Methode zeigt, wurde ein Angriff auf die Implementierung des Schl\u00fcsselinjektionsmechanismus SIKE (Supersingular Isogeny Key Encapsulation) demonstriert, der ins Finale des Wettbewerbs \u00fcber post-quantum Kryptosysteme des National Institute of Standards and Technology (NIST) aufgenommen wurde und als gegen Angriffe \u00fcber Seitenkan\u00e4le gesch\u00fctzt positioniert wird. Im Rahmen des Experiments gelang es mit einer neuen Variante des Angriffs auf Basis von ausgew\u00e4hltem Chiffretext (stufenweises Ausprobieren basierend auf Manipulationen mit dem verschl\u00fcsselten Text und dessen Entschl\u00fcsselung) den zur Verschl\u00fcsselung verwendeten Schl\u00fcssel vollst\u00e4ndig wiederherzustellen, indem Messungen von einem entfernten System durchgef\u00fchrt wurden, obwohl eine SIKE-Implementierung mit konstanter Rechenzeit verwendet wurde. Zur Bestimmung eines 364-Bit-Schl\u00fcssels durch die CIRCL-Implementierung wurden 36 Stunden ben\u00f6tigt, w\u00e4hrend PQCrypto-SIDH 89 Stunden in Anspruch nahm. <\/p>\n
Die Unternehmen Intel und AMD haben die Anf\u00e4lligkeit ihrer Prozessoren anerkannt, planen jedoch nicht, die Schwachstelle durch ein Mikrocode-Update zu beheben, da es ohne erhebliche Auswirkungen auf die Leistung nicht m\u00f6glich ist, die Schwachstelle hardwareseitig zu beseitigen. Stattdessen wurden den Entwicklern von Kryptografiebibliotheken Empfehlungen gegeben, um Informationen beim Ausf\u00fchren vertraulicher Berechnungen softwareseitig zu blockieren. Die Unternehmen Cloudflare und Microsoft haben bereits einen solchen Schutz in ihre Implementierungen von SIKE integriert, was zu einem Leistungsr\u00fcckgang von 5 % bei CIRCL und 11 % bei PQCrypto-SIDH f\u00fchrte. Als eine weitere M\u00f6glichkeit, die Schwachstelle im BIOS oder im Treiber zu blockieren, kann man die Modi \u201eTurbo Boost\u201c, \u201eTurbo Core\u201c oder \u201ePrecision Boost\u201c deaktivieren, jedoch f\u00fchrt diese \u00c4nderung zu einem drastischen Leistungsabfall. <\/p>\n