Intel-ის პროცესორებში დაუცველობის ახალი კლასი დაინერგა

ინტელი опубликовала ინფორმაცია ახლის შესახებ დაუცველობის კლასი მათ პროცესორებში - MDS (Microarchitectural Data Sampling). წინა Spectre შეტევების მსგავსად, ახალმა პრობლემებმა შეიძლება გამოიწვიოს პირადი მონაცემების გაჟონვა ოპერაციული სისტემიდან, ვირტუალური მანქანებიდან და სხვა პროცესებიდან. ვარაუდობენ, რომ პრობლემები პირველად Intel-ის თანამშრომლებმა და პარტნიორებმა დაადგინეს შიდა აუდიტის დროს, რის შემდეგაც დამოუკიდებელმა მკვლევარებმა მსგავსი პრობლემების შესახებ ინფორმაცია მიაწოდეს Intel-ს. AMD და ARM პროცესორებს პრობლემა არ ეხება.

გრაცის ტექნიკური უნივერსიტეტის მკვლევარების მიერ გამოვლენილ პრობლემებზე დაყრდნობით (ავსტრია) განვითარებული რამდენიმე პრაქტიკული გვერდითი არხის შეტევა:

• ZombieLoad (PDF) - საშუალებას გაძლევთ ამოიღოთ კონფიდენციალური ინფორმაცია სხვა პროცესებიდან, ოპერაციული სისტემიდან, ვირტუალური მანქანებიდან და დაცული ანკლავებიდან (TEE, Trusted Execution Environment). მაგალითად, სხვა ვირტუალურ მანქანაში გაშვებული Tor ბრაუზერში გვერდების გახსნის ისტორიის დადგენის შესაძლებლობა, ასევე აპლიკაციებში გამოყენებული წვდომის გასაღებების და პაროლების განსაზღვრა;
  
  
• RIDL (PDF) - იძლევა ინფორმაციის გაჟონვას Intel პროცესორების სხვადასხვა იზოლირებულ უბნებს შორის, როგორიცაა შევსების ბუფერები, შენახვის ბუფერები და ჩატვირთვის პორტები. ნაჩვენებია თავდასხმების მაგალითები სხვა პროცესებიდან, ოპერაციული სისტემიდან, ვირტუალური მანქანებიდან და დაცული ანკლავებიდან გაჟონვის ორგანიზებისთვის. მაგალითად, ის აჩვენებს, თუ როგორ უნდა გაიგოთ root პაროლის ჰეშის შინაარსი /etc/shadow-დან პერიოდული ავტორიზაციის მცდელობების დროს (შეტევას 24 საათი დასჭირდა);
  

  გარდა ამისა, JavaScript-ისა და WebAssembly-ის გამოყენებით თავდასხმის მაგალითი ნაჩვენებია SpiderMonkey ძრავში მავნე გვერდის გახსნისას (თანამედროვე სრულფასოვან ბრაუზერებში ასეთი შეტევა ნაკლებად სავარაუდოა ტაიმერის შეზღუდული სიზუსტისა და Specter-ისგან დაცვის ზომების გამო);

  
• Fallout (PDF) - შესაძლებელს ხდის ოპერაციული სისტემის მიერ ახლახან დაწერილი მონაცემების წაკითხვას და OS-ის მეხსიერების განლაგების განსაზღვრას სხვა შეტევების გასამარტივებლად;
• შენახვა-გაჟონვის გადამისამართება - იყენებს CPU ოპტიმიზაციებს შენახვის ბუფერთან მუშაობისთვის და შეიძლება გამოყენებულ იქნას ბირთვის მისამართის სივრცის შემთხვევითიზაციის მექანიზმის (KASLR) გვერდის ავლით, ოპერაციული სისტემის მდგომარეობის მონიტორინგისთვის ან ორგანიზაცია გაჟონვა Spectre მეთოდებზე დაფუძნებულ გაჯეტებთან ერთად.

იდენტიფიცირებული სისუსტეები:

• CVE-2018-12126 - MSBDS (Microarchitectural Store Buffer Data Sampling), შენახვის ბუფერების შიგთავსის აღდგენა. გამოიყენება Fallout შეტევაში. საშიშროების ხარისხი განისაზღვრება 6.5 ქულა (CVSS);
• CVE-2018-12127 - MLPDS (Microarchitectural Load Port Data Sampling), დატვირთვის პორტის შიგთავსის აღდგენა. გამოიყენება RIDL შეტევაში. CVSS 6.5;
• CVE-2018-12130 - MFBDS (Microarchitectural Fill Buffer Data Sampling), შევსების ბუფერის შიგთავსის აღდგენა. გამოიყენება ZombieLoad და RIDL შეტევებში. CVSS 6.5;
• CVE-2019-11091 – MDSUM (მიკროარქიტექტურული მონაცემთა შერჩევის Uncacheable მეხსიერება), uncacheable მეხსიერების შიგთავსის აღდგენა. გამოიყენება RIDL შეტევაში. CVSS 3.8.

გული იდენტიფიცირებულია პრობლემები გვერდითი არხის ანალიზის მეთოდების გამოყენების უნარში მიკროარქიტექტურულ სტრუქტურებში არსებულ მონაცემებზე, რომლებზეც აპლიკაციებს პირდაპირ არ აქვთ წვდომა. ჩვენ ვსაუბრობთ ისეთ დაბალი დონის სტრუქტურებზე, როგორიცაა შევსების ბუფერები (Line Fill Buffer), შენახვის ბუფერები (Store Buffer) და დატვირთვის პორტები (Load Port), რომლებიც უფრო მცირე სამშენებლო ბლოკებია, ვიდრე პირველი დონის ქეში (L1D), მონაცემთა დატვირთვის ქეში ( RDCL ) ან L1TF (L1 Terminal Fault) და შესაბამისად მოიცავს ნაკლებ ინფორმაციას და უფრო ინტენსიურად განახლდება.

გვერდითი არხის შეტევები მიკროარქიტექტურულ სტრუქტურებზე ბევრად უფრო რთულია ქეშის შიგთავსის აღდგენის მეთოდებთან შედარებით და საჭიროებს ინფორმაციის თვალყურის დევნებას და ანალიზს, რათა დადგინდეს მათი კავშირი მეხსიერების გარკვეულ მისამართებთან (არსებითად, თავდამსხმელს არ შეუძლია მიზანმიმართულად გადაჭრას გარკვეული მონაცემები. , მაგრამ შეიძლება დრო დაგროვდეს გაჟონვები და გამოიყენოს სტატისტიკური მეთოდები გარკვეული ტიპის მონაცემების აღსადგენად). გარდა ამისა, შეტევა გავლენას ახდენს მხოლოდ იმავე ფიზიკურ CPU ბირთვზე არსებულ მონაცემებზე, როგორც თავდამსხმელის კოდი.

მიკროარქიტექტურული სტრუქტურების შიგთავსის განსაზღვრის შემოთავაზებული მეთოდები ემყარება იმ ფაქტს, რომ ეს სტრუქტურები გამოიყენება გამონაკლისების (ნაკლოვანებების) სპეკულაციური დამუშავების ან დატვირთვისა და შენახვის ოპერაციების დროს.
სპეკულაციური შესრულების დროს, შიდა სტრუქტურების შიგთავსი გადამისამართებულია რეგისტრებში ან ქეშებზე დასამუშავებლად. სპეკულაციური ოპერაციები არ სრულდება და შედეგი იშლება, მაგრამ გადამისამართებული კონტენტი შეიძლება განისაზღვროს გვერდითი არხის ქეშის ანალიზის ტექნიკის გამოყენებით.

დატვირთვის პორტებს იყენებს პროცესორი მეხსიერებიდან ან I/O ქვესისტემიდან მონაცემების მისაღებად და მიღებული ინფორმაციის CPU რეგისტრებისთვის მიწოდებისთვის. განხორციელების ფუნქციიდან გამომდინარე, ძველი ჩამოტვირთვის ოპერაციების მონაცემები რჩება პორტებში, სანამ ისინი არ გადაიწერება ახალი მონაცემებით, რაც შესაძლებელს ხდის ირიბად განსაზღვროს მონაცემების მდგომარეობა ჩამოტვირთვის პორტში გამონაკლისებით (შეცდომით) და SSE/AVX/ მანიპულირებით. AVX-512 ინსტრუქციები, რომლებიც ატვირთავს 64 ბიტზე მეტ მონაცემს. ასეთ პირობებში, დატვირთვის ოპერაციები სპეკულაციურად ავლენს მონაცემთა შემორჩენილ მნიშვნელობებს შიდა სტრუქტურებიდან დამოკიდებულ ოპერაციებამდე. ანალოგიურად, გაჟონვა ორგანიზებულია შენახვის ბუფერის მეშვეობით, რომელიც გამოიყენება პროცესორის ქეშში ჩაწერის დასაჩქარებლად და მოიცავს მისამართების, მნიშვნელობებისა და დროშების ცხრილს, ასევე შევსების ბუფერის მეშვეობით, რომელიც შეიცავს მონაცემებს, ჯერ არ არის L1 ქეში (cache-miss), ამ დროისთვის იტვირთება სხვა დონის ქეშებიდან.

პრობლემა გავლენას ახდენს Intel-ის პროცესორის მოდელები წარმოებულია 2011 წლიდან (დაწყებული მე-6 თაობიდან). ამ შემთხვევაში, ტექნიკის ხარვეზები იბლოკება Intel Core-ის მე-8 და მე-9 თაობის ზოგიერთი მოდელიდან და Intel Xeon Scalable-ის მე-2 თაობის მოდელებიდან (შეგიძლიათ შეამოწმოთ ARCH_CAP_MDS_NO ბიტის გამოყენებით IA32_ARCH_CAPABILITIES MSR). დაუცველობაც უკვე არის აღმოფხვრილი პროგრამული უზრუნველყოფის, მიკროკოდის და ოპერაციული სისტემების დონეზე. Intel აფასებს შესრულების დაკარგვას პატჩის გააქტიურების შემდეგ მომხმარებლების უმეტესობისთვის ნაკლები ვიდრე 3%. როდესაც Hyper-Threading ტექნოლოგია გამორთულია, შესრულების დეგრადაციამ შეიძლება მიაღწიოს 9%-მდე SPECint_rate_base ტესტში, 11%-მდე აქტიური მთელი რიცხვის გამოთვლებში და 19%-მდე სერვერის მხარეს Java აპლიკაციების გაშვებისას (HT ჩართულია, თითქმის არ არის შესრულების დეგრადაცია). პატჩებს მცირე გავლენა აქვთ I/O შესრულებაზე.

ბირთვში Linux MDS დაცვა დაემატა დღევანდელში განახლებები 5.1.2, 5.0.16,
4.19.43, 4.14.119 და 4.9.176. დაცვის მეთოდი შეკეკეთების პროცესშია მიკროარქიტექტურული ბუფერების შინაარსის გაწმენდა ბირთვიდან მომხმარებლის სივრცეში დაბრუნებისას ან სტუმრის სისტემაზე კონტროლის გადაცემისას, VERW ინსტრუქციის გამოყენებით. ეს დაცვა მოითხოვს MD_CLEAR რეჟიმის მხარდაჭერას, რომელიც დანერგილია მიკროკოდის უახლეს განახლებაში. სრული დაცვისთვის, ასევე რეკომენდებულია Hyper Threading-ის გამორთვა. სისტემის დაუცველობის შესამოწმებლად, ჩასვით ბირთვის გასაღები. Linux დაემატა დამმუშავებელი "/sys/devices/system/cpu/vulnerabilities/mds". დაუცველობის დაბლოკვის სხვადასხვა რეჟიმების ჩართვის გასაკონტროლებლად, ბირთვს დაემატა პარამეტრი "mds=", რომელსაც შეუძლია მიიღოს მნიშვნელობები "full", "full,nosmt" (ჰიპერ ძაფების გამორთვა), "vmwerv" და "გამორთული".

პაკეტის განახლებები უკვე გამოვიდა rhel и Ubuntu, მაგრამ ჯერჯერობით მიუწვდომელია Debian, Fedora и სუსე.
ვირტუალური მანქანებიდან მონაცემების გაჟონვის დაბლოკვის გამოსწორებაც ჩამოყალიბდა Xen ჰიპერვიზორისთვის. ვირტუალიზაციის სისტემების დასაცავად, რომლებიც გასცემენ L1D_FLUSH ბრძანებას სხვა ვირტუალურ მანქანაზე კონტროლის გადატანამდე და Intel SGX ანკლავების დასაცავად, მიკროკოდის განახლება საკმარისია.

წყარო: opennet.ru