Esitletud on uus klass Intel'i protsessorite haavatavustest.

Intel avalikustasin teave uuest haavatavuste klassist oma protsessorites — MDS (Microarchitectural Data Sampling). Nagu ka varasemad Spectre klassi rünnakud, võivad uued probleemid viia operatsioonisüsteemi, virtuaalmasinate ja teiste protsesside tundlike andmete lekkimiseni. Teadaolevalt avastasid probleemid esmalt Intel'i töötajad ja partnerid sisemise auditi käigus, millele järgnes teave sarnaste probleemide kohta Intel'ile, mida jagasid sõltumatud teadlased. AMD ja ARM protsessorid ei ole probleemiga seotud.

Graz'i tehnikaülikooli teadlaste avastatud probleemide põhjal on välja töötatud mitu praktilist rünnakut kõrvalkanalite kaudu:

• ZombieLoad (PDF) — võimaldab ekstrakteerida konfidentsiaalset teavet teistest protsessidest, operatsioonisüsteemist, virtuaalmasinatest ja kaitstud anklavatest (TEE, Trusted Execution Environment). Näiteks on demonstreeritud võimalust määrata Tor brauseris avatud lehtede ajalugu, mis töötab teises virtuaalmasinas, samuti määrata rakendustes kasutatavaid ligipääsuvõtmeid ja paroole;
  
  
• RIDL (PDF) — võimaldab korraldada teabe leket erinevate isoleeritud alade vahel Intel'i protsessorites, nagu täitepufferid, salvestuspufferid ja laadimisportid. Rünnaku näited näitavad, kuidas korraldada lekkeid teistest protsessidest, operatsioonisüsteemist, virtuaalmasinatest ja kaitstud enclaved'ist. Näiteks on näidatud, kuidas saada root'i parooli hash sisu /etc/shadow-st perioodiliste autentimise katsete kaudu (rünnak kestis 24 tundi);
  

  Lisaks on toodud näide rünnaku läbiviimisest JavaScript'i ja WebAssembly kaudu kahjuliku lehe avamisel SpiderMonkey mootoris (kaasaegsetes täielikes brauserites on selline rünnak ebatõenäoline tänu taimeri täpsuse piirangutele ja Spectre'i vastastele meetmetele);

  
• Fallout (PDF) — võimaldab lugeda hiljuti operatsioonisüsteemi poolt salvestatud andmeid ja määrata operatsioonisüsteemi mälu paigutust, et lihtsustada teiste rünnakute läbiviimist;
• Store-To-Leak Forwarding — kasutab CPU optimeerimisi salvestuspuferiga töötamiseks ja seda saab kasutada kernel'i aadressi ruumi randomiseerimise mehhanismi (KASLR) ümbersuunamiseks, operatsioonisüsteemi oleku jälgimiseks või korraldamiseks lekke, mis on seotud Spectre'i meetoditele põhinevate seadmete kombineerimisega.

Tuvastatud haavatavusest:

• CVE-2018-12126 — MSBDS (Mikroarhitektuurne poodiumite andmete proovide võtmine), salvestus-bufferite sisu taastamine. Kasutatakse Fallout'i rünnakus. Ohtlikkuse tase on määratud 6.5 punkte (CVSS);
• CVE-2018-12127 — MLPDS (Mikroarhitektuurne laadimisportide andmete proovide võtmine), laadimisportide sisu taastamine. Kasutatakse RIDL rünnakus. CVSS 6.5;
• CVE-2018-12130 — MFBDS (Mikroarhitektuurne täite-bufferi andmete proovide võtmine), täitebuffrite sisu taastamine. Kasutatakse ZombieLoad ja RIDL rünnakutes. CVSS 6.5;
• CVE-2019-11091 — MDSUM (Mikroarhitektuurne andmete proovide võtmine mittevahemälus), mittevahemälu sisu taastamine. Kasutatakse RIDL rünnakus. CVSS 3.8.

Tühi tuvastatud probleemid analüüsimeetodite rakendamisvõimekuses külgkanalite kaudu andmetele mikroarhitektuursete struktuuride suhtes, millele rakendused ei pääse otse ligi. Jutt käib madala taseme struktuuridest, nagu täitepuffer (Line Fill Buffer), salvestuspuffer (Store Buffer) ja laadimisport (Load Port), mis on väiksemad koostisosad kui esimese taseme vahemälu (L1D), andme laadimise vahemälu (RDCL) või L1TF (L1 Terminal Fault) ning seega sisaldavad vähem teavet ja uuendatakse sagedamini.

Külgkanali rünnakud mikroarhitektuursetele struktuuridele on märksa keerulisemad kui vahemälu sisu taastamise meetodid ja nõuavad märkimisväärsete andmemahtude jälgimist ja analüüsimist, et määrata nende seos kindlate aadressidega mälus (tegelikult ei saa ründaja sihipäraselt kinni püüda teatud andmeid, vaid võib pikka aega koguda lekkeid ja rakendada statistilisi meetodeid teatud tüüpi andmete rekonstrueerimiseks). Lisaks mõjutab rünnak ainult andmeid samas füüsilises CPU tuumas, kus ka ründaja kood asub.

Mikroarhitektuuri struktuuride sisu määramise ettepanekud põhinevad sellel, et neid struktuure kasutatakse spekulatiivsete vigade (fault) töötlemisel või load ja store operatsioonides.
Spekulatiivse täitmise korral suunatakse sisemise struktuuri sisu edasiseks töötlemiseks registritesse või vahemällu. Spekulatiivsed operatsioonid ei lõpeta ja tulemus kõrvaldatakse, kuid suunatud sisu on võimalik määrata vahemälu analüüsi meetodite abil kõrvaliste kanalite kaudu.

Laadimisportide ülesanne on toita andmeid mälust või sisend-/väljundisüsteemist CPU-le ning edastada saadud teave CPU registritesse. Tehnoloogia tõttu jäävad vanad laadimisoperatsioonide andmed portidesse kuni nende ülekirjutamiseni, mis võimaldab kaudselt määrata laadimisporti andmete olekut, kasutades veateateid ning SSE/AVX/AVX-512 käske, mis laadivad rohkem kui 64 bitti andmeid. Sellistes tingimustes spekuleerivad laadimisoperatsioonid aegunud andmeid sisemistest struktuuridest sõltuvatesse operatsioonidesse. Sarnane protsess toimub ka mälupuhvri kaudu, mis kiirendab CPU vahemälu kirjutamist ning sisaldab aadresside, väärtuste ja lipufunktsioonide tabelit, samuti täitmispuhvrit, mis hoiab andmeid, mis on puudu L1 vahemälust (cache-miss), kuni need laaditakse teistest vahemälutasanditest.

Probleem puudutab Intel'i protsessorimudelid, mis on toodetud alates 2011. aastast (alates 6. põlvkonnast). Samuti blokeeritakse riistvaravead alates mõnest 8. ja 9. põlvkonna Intel Core mudelist ning 2. põlvkonna Intel Xeon Scalable mudelist (kontrollimiseks võib kasutada bitti ARCH_CAP_MDS_NO IA32_ARCH_CAPABILITIES MSR-is). Vead on samuti parandatud likvideeritud tarkvara, mikrokoodi ja operatsioonisüsteemide tasandil. Intel'i hinnangul ei ületa enamikul kasutajatest jõudluse kadu pärast paranduse aktiveerimist 3%. Kui Hyper-Threading tehnoloogia on välja lülitatud, võib jõudlus väheneda kuni 9% SPECint_rate_base testis, kuni 11% täisarvuliste arvutuste käigus ja kuni 19% serveripoolsete Java rakenduste täitmisel (HT lubamisel on jõudluse kadu peaaegu olematu). Parandused ei mõjuta praktiliselt sisendi/-väljundi operatsioonide jõudlust. 3%. Kui keela Hyper-Threading tehnoloogia, võib jõudluse langus kuna 9% SPECint_rate_base testis, kuni 11% täisarvutehingute puhul ja kuni 19% serveripõhiste Java rakenduste käitamisel (HT lubamisel on jõudluse langus praktiliselt olematu). Parandused ei mõjuta praktiliselt sisendi/ väljundi operatsioonide jõudlust.

Linuxi tuumas on MDS kaitse on lisatud täna uuendustes 5.1.2, 5.0.16,
4.19.43, 4.14.119 ja 4.9.176. Kaitsemeetod põhineb mikroarhitektuursete puhvertoonide sisu kustutamise protsessis, kui naaseb tuuma kasutajaruumi või edastab juhtimise külgsüsteemile, kasutatakse käsku VERW. Käideldatavate kaitsete tööks on vajalik MD_CLEAR režiimi tugi, mis on rakendatud uusimas mikrokoodi värskenduses. Täiendava kaitse tagamiseks soovitatakse välja lülitada Hyper-Threading. Haavatavuse kontrollimiseks Linuxi tuumas. lisatud protsessor «/sys/devices/system/cpu/vulnerabilities/mds». Haavatavuste blokeerimise erinevate režiimide haldamiseks on tuuma lisatud parameeter «mds=», mis võib võtta väärtusi «full», «full,nosmt» (Hyper-Threads'i väljalülitamine), «vmwerv» ja «off».

Pakettide värskendused on juba välja antud RHEL ja Ubuntu, kuid on endiselt kättesaamatud Debian, Fedora ja SUSE.
Andmete lekkimise blokeerimise parandused virtuaalmasinatest on samuti on loodud Xeni hüperviisori jaoks. Virtuaalsete süsteemide kaitseks, mis teevad L1D_FLUSH käsu enne juhtimise edastamist teisele virtuaalmasinale, ja Intel SGX kapslite kaitseks piisab mikrokoodi värskendamisest.

Allikas: opennet.ru