{"id":73756,"date":"2020-03-11T20:42:30","date_gmt":"2020-03-11T17:42:30","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/lvi-novyj-klass-atak-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu"},"modified":"2020-03-11T20:42:30","modified_gmt":"2020-03-11T17:42:30","slug":"lvi-novyj-klass-atak-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/lvi-novyj-klass-atak-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu","title":{"rendered":"LVI \u2014 eine neue Klasse von Angriffen auf den Mechanismus der spekulativen Ausf\u00fchrung in CPUs.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ver\u00f6ffentlicht wurden<\/a><\/noindex> Informationen \u00fcber eine neue Angriffsart LVI<\/a><\/noindex> (Load Value Injection, CVE-2020-0551<\/a><\/noindex>) auf den Mechanismus der spekulativen Ausf\u00fchrung in Intel-CPUs, die zur Organisation von Schl\u00fcssel- und Geheimdatenlecks aus Intel SGX-Enklaven und anderen Prozessen verwendet werden k\u00f6nnen.<\/p>\n

Die neue Angriffsart basiert auf Manipulationen der gleichen mikroarchitektonischen Strukturen wie bei den Angriffen MDS<\/a><\/noindex> (Microarchitectural Data Sampling), Spectre und Meltdown<\/a><\/noindex>. Neue Angriffe k\u00f6nnen jedoch nicht durch bestehende Schutzmethoden gegen Meltdown, Spectre, MDS und \u00e4hnliche Angriffe verhindert werden. Um einen effektiven Schutz vor LVI zu gew\u00e4hrleisten, sind Hardware\u00e4nderungen an der CPU erforderlich. Bei der programmatischen Schutzorganisation, durch das Hinzuf\u00fcgen der LFENCE-Anweisung durch den Compiler nach jeder Speicherladeoperation und dem Ersetzen der RET-Anweisung durch POP, LFENCE und JMP, sind die Overheads jedoch zu hoch \u2013 Sch\u00e4tzungen von Forschern zufolge f\u00fchrt ein vollst\u00e4ndiger softwareseitiger Schutz zu einem Leistungsabfall von 2 bis 19 Mal. <\/p>\n

Teilweise wird die Schwierigkeit, das Problem zu beheben, dadurch gemildert, dass die Angriffe derzeit mehr theoretischer als praktischer Natur sind (der Angriff ist theoretisch m\u00f6glich, aber sehr schwer umzusetzen und bisher nur in synthetischen Tests reproduzierbar).
\nDas Unternehmen Intel zugewiesen<\/a><\/noindex> dem Problem ein moderates Gefahrenlevel (5,6 von 10) und die<\/a><\/noindex> ein Firmware- und SDK-Update f\u00fcr die SGX-Umgebung, in dem versucht wurde, den Angriff auf Umwegen zu blockieren. Die vorgeschlagenen Angriffsmethoden sind derzeit nur auf Intel-Prozessoren anwendbar, jedoch ist es nicht ausgeschlossen, dass LVI auch auf andere Prozessoren anpassbar ist, auf die Angriffe der Meltdown-Klasse zutreffen.<\/p>\n

Das Problem wurde im April letzten Jahres von dem Forscher Jo Van Bulck von der Universit\u00e4t Leuven entdeckt. Daraufhin wurden mit Unterst\u00fctzung von 9 Forschern anderer Universit\u00e4ten f\u00fcnf grundlegende Angriffsmethoden entwickelt, von denen jede weitere spezifische Varianten<\/a><\/noindex>. Unabh\u00e4ngig davon haben Forscher von Bitdefender im Februar dieses Jahres ebenfalls wurde entdeckt<\/a><\/noindex> eine der Angriffsvarianten von LVI, die an Intel gemeldet wurde. Die Angriffsm\u00f6glichkeiten variieren durch die Nutzung verschiedener mikroarchitektonischer Strukturen wie Store Buffer (SB), Line Fill Buffer (LFB), FPU-Kontextwechsel-Buffer und Level-1-Daten-Cache (L1D), die zuvor in Angriffen wie ZombieLoad<\/a><\/noindex>, RIDL<\/a><\/noindex>, Fallout<\/a><\/noindex>, LazyFP<\/a><\/noindex>, Foreshadow<\/a><\/noindex> und Meltdown<\/a><\/noindex>.<\/p>\n

\"LVI<\/a><\/noindex><\/center><\/p>\n

Das Hauptmerkmal des Unterschieds<\/a><\/noindex> zwischen LVI und den MDS-Angriffen besteht darin, dass MDS die Definition des Inhalts mikroarchitektonischer Strukturen manipuliert, die nach spekulativer Fehlerverarbeitung oder den Lade- und Speicheroperationen im Cache verbleiben, w\u00e4hrend
\nLVI-Angriffe es erm\u00f6glichen, die Daten des Angreifers in mikroarchitektonische Strukturen einzuf\u00fcgen, um das nachfolgende spekulative Ausf\u00fchren von Code des Opfers zu beeinflussen. Durch diese Manipulationen kann der Angreifer Inhalte gesch\u00fctzter Datenstrukturen in anderen Prozessen extrahieren, w\u00e4hrend bestimmter Code auf dem Ziel-CPU-Kern ausgef\u00fchrt wird.<\/p>\n

\"LVI<\/a><\/noindex><\/center><\/p>\n

F\u00fcr Nutzung des Problems<\/a><\/noindex> im Code des Zielprozesses m\u00fcssen vorhanden sein<\/a><\/noindex> spezielle Code-Sequenzen (Gadgets), in denen ein von einem Angreifer kontrollierter Wert geladen wird. Das Laden dieses Wertes f\u00fchrt zu Ausnahmen (Fehler, Abbruch oder Unterst\u00fctzung), die das Ergebnis verwerfen und die Anweisung erneut ausf\u00fchren. Bei der Behandlung der Ausnahme entsteht ein spekulatives Fenster, in dem Informationen, die im Gadget verarbeitet werden, entwichen k\u00f6nnen. Insbesondere beginnt der Prozessor, ein Code-Segment (Gadget) im spekulativen Modus auszuf\u00fchren, erkennt dann, dass die Vorhersage nicht eingetroffen ist und rollt die Operationen in ihren urspr\u00fcnglichen Zustand zur\u00fcck. Die w\u00e4hrend der spekulativen Ausf\u00fchrung verarbeiteten Daten verbleiben jedoch im L1D-Cache und in Mikroarchitektur-Puffern und sind mit bekannten Methoden zur Bestimmung von Restdaten \u00fcber Seitenkan\u00e4le zug\u00e4nglich.<\/p>\n

Im Gegensatz zu «fault» wird die Ausnahme «assist» innerhalb des Prozessors ohne Aufruf von Software-Handlern verarbeitet. Assist kann beispielsweise auftreten, wenn das A-Bit (Accessed) oder D-Bit (Dirty) in der Speichertabelle aktualisiert werden muss. Die Hauptschwierigkeit bei der Durchf\u00fchrung eines Angriffs auf andere Prozesse besteht darin, wie man das Auftreten von Assist initiieren kann, indem man den Zielprozess manipuliert. Derzeit gibt es keine zuverl\u00e4ssigen M\u00f6glichkeiten, dies zu tun, aber in Zukunft k\u00f6nnte es m\u00f6glich sein, solche zu finden. Die M\u00f6glichkeit eines Angriffs ist bisher nur f\u00fcr Intel SGX-Enklaven best\u00e4tigt worden; andere Szenarien sind theoretischer Natur oder unter synthetischen Bedingungen reproduzierbar (es ist erforderlich, bestimmte Gadgets in den Code einzuf\u00fcgen).<\/p>\n

\"LVI<\/a><\/noindex><\/center><\/p>\n

\"LVI<\/a><\/noindex><\/center><\/p>\n

M\u00f6gliche Angriffsvektoren:<\/p>\n