Un groupe de chercheurs des universit\u00e9s du Texas, d'Illinois et de Washington a r\u00e9v\u00e9l\u00e9 des informations sur une nouvelle famille d'attaques par canaux auxiliaires (CVE-2022-23823, CVE-2022-24436), surnomm\u00e9e Hertzbleed. La m\u00e9thode d'attaque propos\u00e9e est bas\u00e9e sur les caract\u00e9ristiques de gestion dynamique de la fr\u00e9quence dans les processeurs modernes et concerne tous les CPU Intel et AMD actuels. Potentiellement, le probl\u00e8me peut \u00e9galement se manifester dans les processeurs d'autres fabricants, prenant en charge le changement dynamique de fr\u00e9quence, par exemple dans les syst\u00e8mes ARM, mais l'\u00e9tude men\u00e9e s'est limit\u00e9e \u00e0 l'examen des puces Intel et AMD. Les codes sources de la m\u00e9thode d'attaque ont \u00e9t\u00e9 publi\u00e9s sur GitHub (la mise en \u0153uvre a \u00e9t\u00e9 test\u00e9e sur un ordinateur avec un CPU Intel i7-9700). <\/p>\n
Pour optimiser la consommation d'\u00e9nergie et pr\u00e9venir la surchauffe, les processeurs ajustent dynamiquement leur fr\u00e9quence en fonction de la charge, ce qui entra\u00eene des variations de performance et affecte le temps d'ex\u00e9cution des op\u00e9rations (un changement de fr\u00e9quence de 1 Hz entra\u00eene un changement de performance de 1 cycle par seconde). L'\u00e9tude men\u00e9e a r\u00e9v\u00e9l\u00e9 que, dans certaines conditions sur les processeurs AMD et Intel, la variation de fr\u00e9quence est directement corr\u00e9l\u00e9e aux donn\u00e9es trait\u00e9es, ce qui, par exemple, entra\u00eene des temps de calcul diff\u00e9rents pour les op\u00e9rations \u00ab 2022 + 23823 \u00bb et \u00ab 2022 + 24436 \u00bb. Sur la base de l'analyse des variations des temps d'ex\u00e9cution des op\u00e9rations avec diff\u00e9rentes donn\u00e9es, il est possible de reconstruire indirectement les informations utilis\u00e9es lors des calculs. De plus, dans les r\u00e9seaux \u00e0 haute vitesse avec des latences constantes pr\u00e9visibles, l'attaque peut \u00eatre men\u00e9e \u00e0 distance en \u00e9valuant le temps d'ex\u00e9cution des requ\u00eates. <\/p>\n
En cas de succ\u00e8s de l'attaque, les probl\u00e8mes identifi\u00e9s permettent de d\u00e9terminer les cl\u00e9s secr\u00e8tes sur la base de l'analyse des temps de calcul dans les biblioth\u00e8ques cryptographiques utilisant des algorithmes dont les calculs math\u00e9matiques s'effectuent toujours en un temps constant, ind\u00e9pendamment de la nature des donn\u00e9es trait\u00e9es. De telles biblioth\u00e8ques \u00e9taient consid\u00e9r\u00e9es comme prot\u00e9g\u00e9es contre les attaques par canaux auxiliaires, mais il s'est av\u00e9r\u00e9 que le temps de calcul est d\u00e9termin\u00e9 non seulement par l'algorithme, mais aussi par les caract\u00e9ristiques de fonctionnement du processeur. <\/p>\n
Comme exemple pratique d\u00e9montrant la faisabilit\u00e9 de la m\u00e9thode propos\u00e9e, une attaque a \u00e9t\u00e9 r\u00e9alis\u00e9e sur l'impl\u00e9mentation du m\u00e9canisme d'encapsulation de cl\u00e9s SIKE (Supersingular Isogeny Key Encapsulation), qui a atteint la finale du concours de syst\u00e8mes cryptographiques post-quantiques organis\u00e9 par le National Institute of Standards and Technology (NIST) des \u00c9tats-Unis, et est positionn\u00e9e comme \u00e9tant r\u00e9sistante aux attaques par canaux lat\u00e9raux. Au cours de l'exp\u00e9rience, gr\u00e2ce \u00e0 une nouvelle variante d'attaque bas\u00e9e sur un texte chiffr\u00e9 choisi (recherche progressive bas\u00e9e sur des manipulations du texte chiffr\u00e9 et obtention de sa d\u00e9chiffrement), il a \u00e9t\u00e9 possible de r\u00e9cup\u00e9rer compl\u00e8tement la cl\u00e9 utilis\u00e9e pour le chiffrement, en effectuant des mesures depuis un syst\u00e8me distant, malgr\u00e9 l'utilisation d'une impl\u00e9mentation de SIKE avec un temps de calcul constant. Pour d\u00e9terminer une cl\u00e9 de 364 bits en utilisant l'impl\u00e9mentation CIRCL, 36 heures ont \u00e9t\u00e9 n\u00e9cessaires, tandis que pour PQCrypto-SIDH, il a fallu 89 heures. <\/p>\n
Les entreprises Intel et AMD ont reconnu que leurs processeurs \u00e9taient vuln\u00e9rables \u00e0 ce probl\u00e8me, mais elles ne pr\u00e9voient pas de bloquer la vuln\u00e9rabilit\u00e9 par une mise \u00e0 jour du microcode, car il est impossible de corriger mat\u00e9riellement la vuln\u00e9rabilit\u00e9 sans un impact significatif sur les performances. Au lieu de cela, des recommandations ont \u00e9t\u00e9 fournies aux d\u00e9veloppeurs de biblioth\u00e8ques cryptographiques pour bloquer par programme les fuites d'informations lors de l'ex\u00e9cution de calculs confidentiels. Les entreprises Cloudflare et Microsoft ont d\u00e9j\u00e0 ajout\u00e9 une telle protection dans leurs impl\u00e9mentations de SIKE, ce qui a entra\u00een\u00e9 une baisse de la performance de CIRCL de 5 %, et de PQCrypto-SIDH de 11 %. Comme autre moyen de contourner la vuln\u00e9rabilit\u00e9, il est possible de d\u00e9sactiver les modes \u00ab Turbo Boost \u00bb, \u00ab Turbo Core \u00bb ou \u00ab Precision Boost \u00bb dans le BIOS ou le pilote, mais ce changement entra\u00eenera une diminution radicale des performances. <\/p>\n