Un gruppo di ricercatori dell'Università Libera di Amsterdam e della Scuola Politecnica Federale di Zurigo ha sviluppato una tecnica di attacco di rete (Network Cache ATtack), che consente, utilizzando metodi di analisi dei dati su canali esterni, di determinare a distanza i tasti premuti dall'utente durante una sessione SSH. Il problema si manifesta solo sui server che utilizzano le tecnologie (Remote direct memory access) e (Data-Direct I/O).
Azienda Intel , il che rende difficile l'implementazione dell'attacco nella pratica, poiché richiede l'accesso dell'attaccante alla rete locale, condizioni sterili e l'organizzazione della comunicazione tra i sistemi utilizzando le tecnologie RDMA e DDIO, che di solito vengono utilizzate in reti isolate, come quelle operanti in cluster di calcolo. Il problema è stato assegnato a un livello di pericolo lieve (CVSS 2.6, ) e si raccomanda di non includere DDIO e RDMA nelle reti locali dove non è garantito il perimetro di sicurezza e dove è consentito il collegamento di client non affidabili. DDIO è utilizzato nei processori server Intel a partire dal 2012 (Intel Xeon E5, E7 e SP). I sistemi basati su processori AMD e altri produttori non sono soggetti a questo problema poiché non supportano la conservazione dei dati trasmessi sulla rete nella cache della CPU.
Il metodo utilizzato per l'attacco ricorda la vulnerabilità "" che consente di modificare il contenuto di singoli bit nella RAM attraverso la manipolazione dei pacchetti di rete in sistemi con RDMA. Il nuovo problema è il risultato di sforzi per minimizzare i ritardi nell'uso del meccanismo DDIO, che garantisce un'interazione diretta della scheda di rete e di altri dispositivi periferici con la cache della CPU (durante l'elaborazione dei pacchetti della scheda di rete, i dati sono memorizzati nella cache e recuperati dalla cache, senza accesso alla memoria).
Grazie a DDIO, nella cache della CPU arrivano anche i dati generati durante attività di rete dannose. L'attacco NetCAT si basa sul fatto che le schede di rete memorizzano attivamente i dati e che la velocità di elaborazione dei pacchetti nelle moderne reti locali è sufficiente per influenzare il riempimento della cache e determinare la presenza o l'assenza di dati nella cache attraverso l'analisi dei ritardi nella trasmissione dei dati.
Quando si utilizzano sessioni interattive, ad esempio tramite SSH, il pacchetto di rete viene inviato immediatamente dopo la pressione di un tasto, ovvero i ritardi tra i pacchetti correlano ai ritardi tra le pressioni dei tasti. Utilizzando metodi di analisi statistica e considerando che i ritardi tra le pressioni di tasti dipendono solitamente dalla posizione del tasto sulla tastiera, è possibile ricostruire con una certa probabilità le informazioni immesse. Ad esempio, la maggior parte delle persone digita "s" dopo "a" significativamente più velocemente rispetto a "g" dopo "s".
Le informazioni che si accumulano nella cache del processore consentono anche di giudicare il momento esatto in cui vengono inviati i pacchetti dalla scheda di rete durante l'elaborazione di connessioni come SSH. Generando un certo flusso di traffico, l'attaccante può determinare il momento in cui nuovi dati appaiono nella cache, correlati a un'attività specifica nel sistema. Per analizzare il contenuto della cache, si utilizza il metodo , che implica il riempimento della cache con un insieme di valori di riferimento e la misurazione del tempo di accesso a questi valori durante il riempimento ripetuto per determinare eventuali modifiche.
Non si esclude l'applicazione della tecnica proposta per determinare non solo le pressioni dei tasti, ma anche altri tipi di dati sensibili che si accumulano nella cache della CPU. Potenzialmente, l'attacco può essere condotto anche con RDMA disabilitato, ma senza RDMA la sua efficacia diminuisce e l'esecuzione diventa notevolmente più complicata. È inoltre possibile utilizzare DDIO per organizzare un canale di comunicazione nascosto, utilizzato per trasmettere dati dopo la compromissione del server, eludendo i sistemi di sicurezza.
Fonte: opennet.ru
