Hertzbleed — une nouvelle famille d'attaques par canaux auxiliaires, visant les CPU modernes

Un groupe de chercheurs des universités du Texas, d'Illinois et de Washington a révélé des informations sur une nouvelle famille d'attaques par canaux auxiliaires (CVE-2022-23823, CVE-2022-24436), surnommée Hertzbleed. La méthode d'attaque proposée est basée sur les caractéristiques de gestion dynamique de la fréquence dans les processeurs modernes et concerne tous les CPU Intel et AMD actuels. Potentiellement, le problème peut également se manifester dans les processeurs d'autres fabricants, prenant en charge le changement dynamique de fréquence, par exemple dans les systèmes ARM, mais l'étude menée s'est limitée à l'examen des puces Intel et AMD. Les codes sources de la méthode d'attaque ont été publiés sur GitHub (la mise en œuvre a été testée sur un ordinateur avec un CPU Intel i7-9700).

Pour optimiser la consommation d'énergie et éviter la surchauffe, les processeurs changent dynamiquement leur fréquence en fonction de la charge, ce qui entraîne des variations de performance et affecte le temps d'exécution des opérations (un changement de fréquence de 1 Hz entraîne une variation de performance de 1 cycle par seconde). Lors de l'étude menée, il a été constaté que, dans certaines conditions, sur les processeurs AMD et Intel, le changement de fréquence corrèle directement avec les données traitées, ce qui, par exemple, entraîne des temps de calcul différents pour les opérations «2022 + 23823» et «2022 + 24436». Sur la base de l'analyse des différences des temps d'exécution des opérations avec différentes données, il est possible de reconstruire indirectement l'information utilisée lors des calculs. Dans les réseaux à haute vitesse avec des délais constants prévisibles, l'attaque peut être menée à distance, en évaluant les temps d'exécution des requêtes.

En cas de succès de l'attaque, les problèmes identifiés permettent de déterminer les clés secrètes sur la base de l'analyse des temps de calcul dans les bibliothèques cryptographiques utilisant des algorithmes dont les calculs mathématiques s'effectuent toujours en un temps constant, indépendamment de la nature des données traitées. De telles bibliothèques étaient considérées comme protégées contre les attaques par canaux auxiliaires, mais il s'est avéré que le temps de calcul est déterminé non seulement par l'algorithme, mais aussi par les caractéristiques de fonctionnement du processeur.

À titre d'exemple pratique illustrant la pertinence de la méthode proposée, une attaque sur la mise en œuvre du mécanisme d'encapsulation de clés SIKE (Supersingular Isogeny Key Encapsulation), qui a été sélectionné pour la finale du concours des crypto-systèmes post-quantiques organisé par l'Institut national des normes et de la technologie des États-Unis (NIST), est présentée. Ce mécanisme est positionné comme étant résistant aux attaques par canaux auxiliaires. Lors de l'expérience, une nouvelle variante d'attaque basée sur un texte chiffré sélectionné (un déchiffrement progressif basé sur des manipulations du texte chiffré) a permis de récupérer complètement la clé utilisée pour le chiffrement, en effectuant des mesures à partir d'un système distant, malgré la mise en œuvre de SIKE avec un temps de calcul constant. La détermination de la clé de 364 bits à l'aide de l'implémentation CIRCL a pris 36 heures, tandis que la mise en œuvre PQCrypto-SIDH a pris 89 heures.

Les entreprises Intel et AMD ont reconnu que leurs processeurs étaient vulnérables, mais ne prévoient pas de bloquer cette vulnérabilité par une mise à jour du microcode, car il est impossible de corriger matériellement la vulnérabilité sans un impact significatif sur les performances. À la place, des recommandations ont été faites aux développeurs de bibliothèques cryptographiques pour bloquer par logiciel les fuites d'informations lors de l'exécution de calculs confidentiels. Les entreprises Cloudflare et Microsoft ont déjà ajouté une telle protection dans leurs mises en œuvre de SIKE, ce qui a entraîné une baisse de la performance de CIRCL de 5 % et de PQCrypto-SIDH de 11 %. Une autre solution pour bloquer la vulnérabilité dans le BIOS ou le pilote consiste à désactiver les modes « Turbo Boost », « Turbo Core » ou « Precision Boost », mais ce changement entraînera une réduction considérable des performances.

Les entreprises Intel, Cloudflare et Microsoft ont été informées du problème au troisième trimestre 2021, et la société AMD au premier trimestre 2022, mais à la demande d'Intel, la divulgation publique des informations sur le problème a été retardée jusqu'au 14 juin 2022. La présence du problème a été confirmée dans les processeurs pour systèmes de bureau et ordinateurs portables basés sur les architectures micro de 8 à 11 générations d'Intel Core, ainsi que pour divers processeurs de bureau, mobiles et serveur AMD Ryzen, Athlon, A-Series et EPYC (les chercheurs ont démontré la méthode sur un CPU Ryzen avec l'architecture Zen 2 et Zen 3).

Source : opennet.ru