Skupina istraživača s Vrije Universiteit Amsterdam i ETH Zurich razvila je tehniku mrežnog napada (Network Cache ATtack), koji omogućuje, korištenjem metoda analize podataka putem kanala trećih strana, daljinsko određivanje tipki koje je korisnik pritisnuo tijekom rada u SSH sesiji. Problem se pojavljuje samo na poslužiteljima koji koriste tehnologije (Udaljeni izravni pristup memoriji) i (Data-Direct I/O).
Intel , da je napad teško izvediv u praksi, budući da zahtijeva pristup napadača lokalnoj mreži, sterilne uvjete i organizaciju host komunikacije pomoću RDMA i DDIO tehnologija, koje se obično koriste u izoliranim mrežama, npr. u kojima računalstvo djeluju klasteri. Problem je ocijenjen kao manji (CVSS 2.6, ) te je dana preporuka da se ne omogućavaju DDIO i RDMA u lokalnim mrežama gdje nije osiguran sigurnosni perimetar i dopušteno je povezivanje nepouzdanih klijenata. DDIO se koristi u Intel serverskim procesorima od 2012. (Intel Xeon E5, E7 i SP). Sustavi koji se temelje na procesorima AMD-a i drugih proizvođača nisu pogođeni problemom jer ne podržavaju pohranjivanje podataka koji se prenose mrežom u CPU predmemoriju.
Metoda korištena za napad podsjeća na ranjivost "“, koji vam omogućuje promjenu sadržaja pojedinačnih bitova u RAM-u kroz manipulaciju mrežnih paketa u sustavima s RDMA. Novi problem posljedica je rada na minimiziranju kašnjenja pri korištenju DDIO mehanizma, koji osigurava izravnu interakciju mrežne kartice i drugih perifernih uređaja s predmemorijom procesora (u procesu obrade paketa mrežne kartice podaci se pohranjuju u predmemoriju i dohvaćeno iz predmemorije, bez pristupa memoriji).
Zahvaljujući DDIO-u, predmemorija procesora također uključuje podatke generirane tijekom zlonamjerne mrežne aktivnosti. NetCAT napad temelji se na činjenici da mrežne kartice aktivno spremaju podatke u predmemoriju, a brzina obrade paketa u modernim lokalnim mrežama dovoljna je da utječe na popunjavanje predmemorije i utvrđuje prisutnost ili odsutnost podataka u predmemorije analizom kašnjenja tijekom podataka prijenos.
Kada koristite interaktivne sesije, kao što je putem SSH, mrežni paket se šalje odmah nakon pritiska na tipku, tj. kašnjenja između paketa koreliraju s kašnjenjima između pritisaka tipki. Koristeći metode statističke analize i uzimajući u obzir da kašnjenja između pritisaka na tipke obično ovise o položaju tipke na tipkovnici, moguće je s određenom vjerojatnošću rekreirati unesene informacije. Na primjer, većina ljudi upisuje "s" nakon "a" mnogo brže nego "g" nakon "s".
Informacije pohranjene u predmemoriju procesora također omogućuju procjenu točnog vremena paketa koje šalje mrežna kartica prilikom obrade veza kao što je SSH. Generiranjem određenog protoka prometa, napadač može odrediti trenutak kada se novi podaci pojavljuju u cacheu povezani s određenom aktivnošću u sustavu. Za analizu sadržaja predmemorije koristi se metoda , što uključuje popunjavanje predmemorije referentnim skupom vrijednosti i mjerenje vremena pristupa njima prilikom ponovnog popunjavanja radi utvrđivanja promjena.
Moguće je da se predložena tehnika može koristiti za utvrđivanje ne samo pritisaka na tipke, već i drugih vrsta povjerljivih podataka pohranjenih u CPU predmemoriju. Napad se potencijalno može izvesti čak i ako je RDMA onemogućen, ali bez RDMA njegova je učinkovitost smanjena i izvršenje postaje znatno teže. Također je moguće koristiti DDIO za organiziranje tajnog komunikacijskog kanala koji se koristi za prijenos podataka nakon što je poslužitelj ugrožen, zaobilazeći sigurnosne sustave.
Izvor: opennet.ru