A vulnerability in Qualcomm chips allows extracting private keys from the TrustZone storage.

Les chercheurs de la société NCC Group ont révélé détails vulnérabilités (CVE-2018-11976) dans les puces Qualcomm, permettant de déterminer le contenu des clés de chiffrement secrètes stockées dans l'enclave sécurisée Qualcomm QSEE (Qualcomm Secure Execution Environment), basée sur la technologie ARM TrustZone. Le problème se manifeste dans de la plupart des les SoC Snapdragon, largement diffusés dans les smartphones utilisant la plateforme Android. Des correctifs pour résoudre le problème ont déjà est inclus été intégrés dans la mise à jour d'avril d'Android et dans les nouvelles versions des microprogrammes pour les puces Qualcomm. La préparation de la correction a demandé plus d'un an à Qualcomm — les premières informations sur la vulnérabilité ont été envoyées à Qualcomm le 19 mars 2018.

Rappelons que la technologie ARM TrustZone permet de créer des environnements sécurisés isolés au niveau matériel, qui sont complètement séparés du système principal et s'exécutent sur un processeur virtuel distinct avec l'utilisation d'un système d'exploitation spécialisé séparé. La principale vocation de TrustZone est de garantir l'exécution isolée des gestionnaires de clés de chiffrement, de l'authentification biométrique, des données de paiement et d'autres informations confidentielles. L'interaction avec le système d'exploitation principal se fait indirectement via une interface de gestion. Les clés de chiffrement secrètes sont stockées dans un dépôt de clés isolé matériellement, ce qui, si bien implémenté, permet d'éviter leur fuite en cas de compromission du système principal.

La vulnérabilité est liée à un défaut de mise en œuvre de l'algorithme de traitement des courbes elliptiques, entraînant une fuite d'informations sur le déroulement du traitement des données. Les chercheurs ont développé une technique d'attaque par canaux latéraux, permettant de restaurer le contenu des clés secrètes à partir des fuites indirectes existantes, stockées dans le Android Keystore. Les fuites sont déterminées par l'analyse de l'activité du bloc de prédiction des transitions et des variations de temps d'accès aux données en mémoire. Au cours de l'expérience, les chercheurs ont réussi à démontrer la récupération de clés ECDSA de 224 bits et 256 bits à partir d'un dépôt de clés isolé matériellement utilisé dans le smartphone Nexus 5X. La récupération de la clé a nécessité la génération d'environ 12 000 signatures numériques, qui ont pris plus de 14 heures. Pour mener l'attaque, les chercheurs ont utilisé l'outil Cachegrab.

La principale raison de ce problème est l'utilisation conjointe de composants matériels partagés et du cache pour les calculs dans TrustZone et dans le système principal — l'isolation est réalisée au niveau de la séparation logique, mais en utilisant des unités de calcul partagées, ce qui permet de laisser des traces de calculs et d'informations sur les adresses de transit dans le cache processeur commun. À l'aide de la méthode Prime+Probe, basée sur l'évaluation des changements de temps d'accès aux informations en cache, il est possible de suivre avec une précision suffisante les flux de données et les signes d'exécution de code liés aux calculs de signatures numériques dans TrustZone en vérifiant la présence de certains motifs dans le cache.

La majeure partie du temps de formation d'une signature numérique utilisant des clés ECDSA dans les puces Qualcomm est consacrée à l'exécution d'opérations de multiplication en boucle avec un vecteur d'initialisation constant pour chaque signature (nonce). Si un attaquant parvient à retrouver ne serait-ce que quelques bits d'information sur ce vecteur, cela ouvre la possibilité d'une attaque par récupération séquentielle de l'ensemble de la clé privée.

Dans le cas de Qualcomm, deux points de fuite d'informations similaires ont été identifiés dans l'algorithme de multiplication : lors des opérations de recherche dans les tables et dans le code d'extraction conditionnelle des données basé sur la valeur du dernier bit dans le vecteur « nonce ». Malgré la présence dans le code de Qualcomm de mesures visant à contrer les fuites d'informations par des canaux secondaires, la méthode d'attaque développée permet de contourner ces mesures et d'identifier plusieurs bits de la valeur « nonce », suffisants pour restaurer des clés ECDSA de 256 bits.

Source : opennet.ru