תלות של זמן ביצוע הוראות בנתונים על מעבדי ARM ו-Intel

אריק ביגרס, אחד ממפתחי צופן Adiantum ומתחזק של תת-המערכת fscrypt ליבת לינוקס, הציע סט תיקונים לחסימת בעיות אבטחה הנובעות מתכונה של מעבדי אינטל שאינה מבטיחה זמני ביצוע קבועים עבור נתונים מעובדים שונים. הבעיה מופיעה במעבדי אינטל החל ממשפחת Ice Lake. בעיה דומה נצפית במעבדי ARM.

נוכחות של תלות של זמן ביצוע ההוראות בנתונים המעובדים בהוראות אלה נחשבת על ידי מחבר התיקונים כאל פגיעות במעבדים, שכן התנהגות כזו אינה יכולה להבטיח את האבטחה של פעולות קריפטוגרפיות המבוצעות במערכת. יישומים רבים של אלגוריתמים קריפטוגרפיים נועדו להבטיח שהנתונים לא ישפיעו על זמן ביצוע ההוראות, והפרה של התנהגות זו עלולה להוביל ליצירת התקפות צדדיות המשחזרות נתונים על סמך ניתוח זמן העיבוד שלה.

פוטנציאלית, תלות בנתוני זמן ריצה יכולה לשמש גם להפעלת התקפות כדי לקבוע נתוני ליבה ממרחב המשתמש. לדברי אריק ביגרס, זמן ביצוע קבוע אינו מסופק כברירת מחדל אפילו עבור הוראות המבצעות פעולות הוספה ו-XOR, וכן עבור הוראות AES-NI מיוחדות (מידע שלא אושר על ידי בדיקות, לפי נתונים אחרים, יש עיכוב של אחד מחזור במהלך כפל וקטור וספירת סיביות).

כדי להשבית התנהגות זו, אינטל ו-ARM הציעו דגלים חדשים: PSTATE bit DIT (תזמון בלתי תלוי בנתונים) עבור מעבדי ARM ו-MSR bit DOITM (מצב תזמון עצמאי של נתונים אופרנד) עבור מעבדי אינטל, המחזירים את ההתנהגות הישנה עם זמן ביצוע קבוע. אינטל ו-ARM ממליצות להפעיל הגנה לפי הצורך עבור קוד קריטי, אך במציאות, חישוב קריטי יכול להתרחש בכל מקום בקרנל ובמרחב המשתמש, ולכן אנו שוקלים להפעיל מצבי DOITM ו-DIT עבור כל הליבה בכל עת.

עבור מעבדי ARM, ענף הליבה של Linux 6.2 כבר אימץ טלאים שמשנים את התנהגות הליבה, אך טלאים אלו נחשבים לא מספיקים מכיוון שהם מכסים רק את קוד הליבה ואינם משנים את ההתנהגות של מרחב המשתמש. עבור מעבדי אינטל, הכללת ההגנה עדיין בשלב הבדיקה. השפעת התיקון על הביצועים עדיין לא נמדדה, אך לפי תיעוד אינטל, הפעלת מצב DOITM מפחיתה את הביצועים (לדוגמה, על ידי השבתת אופטימיזציות מסוימות, כגון טעינה מוקדמת ספציפית לנתונים) ובדגמי מעבדים עתידיים הפחתת הביצועים עשויה לגדול .

מקור: OpenNet.ru