{"id":116613,"date":"2024-06-18T12:05:50","date_gmt":"2024-06-18T10:05:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/tiktag-ataka-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu-arm-pozvolyayushhaya-obojti-zashhitu-memtag"},"modified":"2024-06-18T12:05:50","modified_gmt":"2024-06-18T10:05:50","slug":"tiktag-ataka-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu-arm-pozvolyayushhaya-obojti-zashhitu-memtag","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/tiktag-ataka-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu-arm-pozvolyayushhaya-obojti-zashhitu-memtag","title":{"rendered":"TikTag \u2014 attaque contre le m\u00e9canisme d'ex\u00e9cution sp\u00e9culative dans les CPU ARM, permettant de contourner la protection MemTag","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un groupe de chercheurs de l'Universit\u00e9 de S\u00e9oul et de la soci\u00e9t\u00e9 Samsung a d\u00e9velopp\u00e9 une technique d'attaque sur les processeurs ARM, nomm\u00e9e TikTag, qui peut \u00eatre utilis\u00e9e pour contourner le m\u00e9canisme de protection mat\u00e9riel MemTag (MTE, Memory Tagging Extension) pr\u00e9sent dans les puces bas\u00e9es sur l'architecture ARMv8.5-A. L'attaque permet de d\u00e9terminer le contenu des balises TikTag pour des adresses m\u00e9moire arbitraires en raison de fuites de donn\u00e9es r\u00e9sultant de l'ex\u00e9cution sp\u00e9culative des instructions CPU. <\/p>\n
La technologie MemTag permet d'associer des balises \u00e0 des zones de m\u00e9moire et d'organiser une v\u00e9rification de l'utilisation correcte des pointeurs pour bloquer l'exploitation des vuln\u00e9rabilit\u00e9s caus\u00e9es par l'acc\u00e8s \u00e0 des blocs de m\u00e9moire d\u00e9j\u00e0 lib\u00e9r\u00e9s, des d\u00e9bordements de tampon et des acc\u00e8s avant initialisation. Lors de l'utilisation de MemTag, un tag de 4 bits est cr\u00e9\u00e9 pour chaque 16 octets de m\u00e9moire physique, servant de cl\u00e9 d'acc\u00e8s \u00e0 cette m\u00e9moire. Le tag peut \u00eatre g\u00e9n\u00e9r\u00e9 par une application pour une zone de m\u00e9moire allou\u00e9e \u00e0 l'aide d'instructions CPU sp\u00e9ciales, puis stock\u00e9 dans les bits sup\u00e9rieurs non utilis\u00e9s du pointeur. Lors de l'acc\u00e8s \u00e0 la m\u00e9moire avec un pointeur tagu\u00e9, le processeur v\u00e9rifie la correspondance entre le tag associ\u00e9 au pointeur et les tags associ\u00e9s aux blocs de m\u00e9moire, et n'autorise l'acc\u00e8s que si les tags correspondent. <\/p>\n
La m\u00e9thode d'attaque propos\u00e9e permet de d\u00e9terminer les tags associ\u00e9s aux blocs de m\u00e9moire et de contourner la protection MemTag. Les chercheurs ont d\u00e9montr\u00e9 la possibilit\u00e9 de r\u00e9aliser l'attaque TikTag en exploitant des vuln\u00e9rabilit\u00e9s dans le noyau Linux et le navigateur Chrome, en utilisant des s\u00e9quences d'instructions (gadgets) existantes dans ces produits, entra\u00eenant une ex\u00e9cution sp\u00e9culative de code. De tels gadgets, lorsqu'ils sont ex\u00e9cut\u00e9s en mode sp\u00e9culatif de code utilisant des pointeurs, provoquent la lecture des m\u00e9tadonn\u00e9es MemTag en fonction de conditions externes pouvant \u00eatre influenc\u00e9es par l'attaquant. Apr\u00e8s avoir d\u00e9termin\u00e9 une pr\u00e9vision erron\u00e9e, le r\u00e9sultat de l'ex\u00e9cution sp\u00e9culative est rejet\u00e9, mais les donn\u00e9es obtenues restent dans le cache et peuvent ensuite \u00eatre extraites par une analyse via des canaux lat\u00e9raux. La probabilit\u00e9 de contourner avec succ\u00e8s la protection MemTag dans les tests effectu\u00e9s a \u00e9t\u00e9 \u00e9valu\u00e9e \u00e0 95 % lors de l'attaque r\u00e9alis\u00e9e sur une dur\u00e9e d'environ 4 secondes.<\/p>\n
<\/center><\/p>\n
Deux types de gadgets ont \u00e9t\u00e9 identifi\u00e9s, entra\u00eenant des fuites d'informations sur les tags MemTag. Dans le premier cas, l'ex\u00e9cution sp\u00e9culative se produit en raison d'une pr\u00e9diction de saut incorrecte, et les conditions pour l'ex\u00e9cution du gadget peuvent \u00eatre cr\u00e9\u00e9es par des manipulations des appels syst\u00e8me. Dans le second cas, \nL'ex\u00e9cution sp\u00e9culative r\u00e9sulte d'une erreur de pr\u00e9diction de la relation entre les op\u00e9rations de lecture et d'\u00e9criture lors de l'utilisation de l'optimisation STLF (Store-To-Load-Forwarding), ce qui permet de r\u00e9cup\u00e9rer une \u00e9tiquette en \u00e9valuant l'\u00e9tat du cache (si l'\u00e9tiquette correspond, la valeur sera directement redirig\u00e9e de la commande pr\u00e9c\u00e9dente \u00ab store \u00bb \u00e0 l'op\u00e9ration \u00ab load \u00bb et modifiera l'\u00e9tat du cache). Le premier type de gadgets est adapt\u00e9 pour attaquer le noyau Linux, tandis que le second cible le moteur JavaScript V8, utilis\u00e9 dans les navigateurs bas\u00e9s sur Chromium. Un prototype de l'outil pour mener cette attaque a \u00e9t\u00e9 publi\u00e9 sur GitHub.<\/p>\n
<\/center><\/p>\n
La soci\u00e9t\u00e9 ARM a confirm\u00e9 la possibilit\u00e9 de mener une attaque sur des syst\u00e8mes \u00e9quip\u00e9s de processeurs Cortex-X2, Cortex-X3, Cortex-A510, Cortex-A520, Cortex-A710, Cortex-A715 et Cortex-A720, mais n'a pas l'intention d'apporter des modifications au CPU pour bloquer le probl\u00e8me, car l'architecture MemTag suppose que les tags ne sont pas des donn\u00e9es secr\u00e8tes pour les applications. Dans la base de code de Chromium, le probl\u00e8me reste \u00e9galement non corrig\u00e9, car la protection bas\u00e9e sur MemTag n'est pas encore appliqu\u00e9e par d\u00e9faut dans le navigateur Chrome. L'\u00e9quipe responsable de la s\u00e9curit\u00e9 de la plateforme Android a reconnu la possibilit\u00e9 d'une attaque sur les dispositifs Pixel 8 utilisant la protection MemTag, a ajout\u00e9 des correctifs pour bloquer les fuites et a exprim\u00e9 sa volont\u00e9 de verser une r\u00e9compense pour la vuln\u00e9rabilit\u00e9 trouv\u00e9e.<\/p>\n
Comme m\u00e9thodes d'att\u00e9nuation pour bloquer l'attaque, les chercheurs proposent d'utiliser les instructions sb ou isb pour interdire l'ex\u00e9cution sp\u00e9culative lors des op\u00e9rations critiques sur la m\u00e9moire ou d'inclure entre les instructions de branchement et les instructions d'acc\u00e8s \u00e0 la m\u00e9moire des remplissages provenant d'autres instructions. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"TikTag](\"\/wp-content\/uploads\/2024\/06\/449bdf2385ce1e4f416fa23a8b55583b.png\")
<\/center><\/p>\n![\"TikTag](\"\/wp-content\/uploads\/2024\/06\/520ec0c4308a1c5da52114d92ef4d0d3.png\")
![\"TikTag](\"\/wp-content\/uploads\/2024\/06\/f6618d885c0d2580924c2d678f1c40cb.png\")
<\/center><\/p>\n