इंटेल चिप्स में डीडीआईओ कार्यान्वयन एक एसएसएच सत्र में कीस्ट्रोक्स का पता लगाने के लिए नेटवर्क हमले की अनुमति देता है

व्रीजे यूनिवर्सिटिट एम्स्टर्डम और ईटीएच ज्यूरिख के शोधकर्ताओं के एक समूह ने एक नेटवर्क हमला तकनीक विकसित की है netcat (नेटवर्क कैश अटैक), जो एसएसएच सत्र में काम करते समय उपयोगकर्ता द्वारा दबाई गई कुंजियों को दूरस्थ रूप से निर्धारित करने के लिए तीसरे पक्ष के चैनलों के माध्यम से डेटा विश्लेषण विधियों का उपयोग करने की अनुमति देता है। समस्या केवल उन सर्वरों पर दिखाई देती है जो प्रौद्योगिकियों का उपयोग करते हैं आरडीएमए (रिमोट डायरेक्ट मेमोरी एक्सेस) और डीडीआईओ (डेटा-डायरेक्ट I/O)।

इंटेल समझता है, कि हमले को व्यवहार में लागू करना मुश्किल है, क्योंकि इसके लिए हमलावर की स्थानीय नेटवर्क तक पहुंच, बाँझ स्थितियों और आरडीएमए और डीडीआईओ प्रौद्योगिकियों का उपयोग करके मेजबान संचार के संगठन की आवश्यकता होती है, जो आमतौर पर पृथक नेटवर्क में उपयोग किए जाते हैं, उदाहरण के लिए, जिसमें कंप्यूटिंग क्लस्टर संचालित होते हैं। इस मुद्दे को मामूली रेटिंग दी गई है (सीवीएसएस 2.6, CVE-2019-11184) और स्थानीय नेटवर्क में डीडीआईओ और आरडीएमए को सक्षम न करने की सिफारिश की गई है जहां सुरक्षा परिधि प्रदान नहीं की गई है और अविश्वसनीय ग्राहकों के कनेक्शन की अनुमति है। DDIO का उपयोग 2012 से Intel सर्वर प्रोसेसर (Intel Xeon E5, E7 और SP) में किया जा रहा है। एएमडी और अन्य निर्माताओं के प्रोसेसर पर आधारित सिस्टम समस्या से प्रभावित नहीं होते हैं, क्योंकि वे सीपीयू कैश में नेटवर्क पर स्थानांतरित डेटा को संग्रहीत करने का समर्थन नहीं करते हैं।

हमले के लिए इस्तेमाल की गई विधि एक भेद्यता से मिलती जुलती है"थ्रोहैमर“, जो आपको आरडीएमए के साथ सिस्टम में नेटवर्क पैकेट के हेरफेर के माध्यम से रैम में व्यक्तिगत बिट्स की सामग्री को बदलने की अनुमति देता है। नई समस्या डीडीआईओ तंत्र का उपयोग करते समय देरी को कम करने के काम का परिणाम है, जो प्रोसेसर कैश के साथ नेटवर्क कार्ड और अन्य परिधीय उपकरणों की सीधी बातचीत सुनिश्चित करता है (नेटवर्क कार्ड पैकेट को संसाधित करने की प्रक्रिया में, डेटा कैश में संग्रहीत होता है और मेमोरी तक पहुंच के बिना, कैश से पुनर्प्राप्त किया गया)।

DDIO को धन्यवाद, प्रोसेसर कैश में दुर्भावनापूर्ण नेटवर्क गतिविधि के दौरान उत्पन्न डेटा भी शामिल होता है। नेटकैट हमला इस तथ्य पर आधारित है कि नेटवर्क कार्ड सक्रिय रूप से डेटा को कैश करते हैं, और आधुनिक स्थानीय नेटवर्क में पैकेट प्रोसेसिंग की गति कैश भरने को प्रभावित करने और डेटा के दौरान देरी का विश्लेषण करके कैश में डेटा की उपस्थिति या अनुपस्थिति का निर्धारण करने के लिए पर्याप्त है। स्थानांतरण करना।

इंटरैक्टिव सत्रों का उपयोग करते समय, जैसे कि एसएसएच के माध्यम से, नेटवर्क पैकेट कुंजी दबाए जाने के तुरंत बाद भेजा जाता है, यानी। पैकेटों के बीच देरी कीस्ट्रोक्स के बीच देरी से संबंधित होती है। सांख्यिकीय विश्लेषण विधियों का उपयोग करके और यह ध्यान में रखते हुए कि कीस्ट्रोक्स के बीच की देरी आमतौर पर कीबोर्ड पर कुंजी की स्थिति पर निर्भर करती है, एक निश्चित संभावना के साथ दर्ज की गई जानकारी को फिर से बनाना संभव है। उदाहरण के लिए, अधिकांश लोग "ए" के बाद "एस" टाइप करने की प्रवृत्ति रखते हैं, जबकि "एस" के बाद "जी" की तुलना में बहुत तेजी से टाइप करते हैं।

प्रोसेसर कैश में जमा की गई जानकारी किसी को एसएसएच जैसे कनेक्शन संसाधित करते समय नेटवर्क कार्ड द्वारा भेजे गए पैकेट के सटीक समय का न्याय करने की भी अनुमति देती है। एक निश्चित ट्रैफ़िक प्रवाह उत्पन्न करके, एक हमलावर उस क्षण को निर्धारित कर सकता है जब सिस्टम में एक विशिष्ट गतिविधि से जुड़े कैश में नया डेटा दिखाई देता है। कैश की सामग्री का विश्लेषण करने के लिए, विधि का उपयोग किया जाता है प्रधान+जांच, जिसमें मूल्यों के संदर्भ सेट के साथ कैश को पॉप्युलेट करना और परिवर्तनों को निर्धारित करने के लिए दोबारा पॉप्युलेट करने पर उन तक पहुंच समय को मापना शामिल है।

यह संभव है कि प्रस्तावित तकनीक का उपयोग न केवल कीस्ट्रोक्स, बल्कि सीपीयू कैश में जमा अन्य प्रकार के गोपनीय डेटा को भी निर्धारित करने के लिए किया जा सकता है। आरडीएमए अक्षम होने पर भी हमला संभावित रूप से किया जा सकता है, लेकिन आरडीएमए के बिना इसकी प्रभावशीलता कम हो जाती है और निष्पादन काफी कठिन हो जाता है। सुरक्षा प्रणालियों को दरकिनार करते हुए सर्वर से समझौता होने के बाद डेटा स्थानांतरित करने के लिए उपयोग किए जाने वाले गुप्त संचार चैनल को व्यवस्थित करने के लिए डीडीआईओ का उपयोग करना भी संभव है।

स्रोत: opennet.ru