Intel 칩의 DDIO 구현을 통해 네트워크 공격이 SSH 세션에서 키 입력을 감지할 수 있습니다.

Vrije Universiteit Amsterdam과 ETH Zurich의 연구원 그룹이 네트워크 공격 기술을 개발했습니다. 넷캣 (Network Cache ATtack) - 타사 채널을 통한 데이터 분석 방법을 사용하여 SSH 세션에서 작업하는 동안 사용자가 누른 키를 원격으로 확인할 수 있습니다. 기술을 사용하는 서버에서만 문제가 나타납니다. RDMA (원격 직접 메모리 액세스) 및 디디오 (데이터 직접 I/O).

인텔 고려, 공격을 위해서는 공격자의 로컬 네트워크 액세스, 무균 조건 및 일반적으로 격리된 네트워크에서 사용되는 RDMA 및 DDIO 기술을 사용한 호스트 통신 구성이 필요하기 때문에 실제로 구현하기가 어렵습니다. 클러스터가 작동합니다. 이 문제는 심각도(CVSS 2.6, CVE-2019-11184) 보안 경계가 제공되지 않고 신뢰할 수 없는 클라이언트의 연결이 허용되는 로컬 네트워크에서는 DDIO 및 RDMA를 활성화하지 않는 것이 좋습니다. DDIO는 2012년부터 Intel 서버 프로세서(Intel Xeon E5, E7 및 SP)에 사용되었습니다. AMD 및 기타 제조업체의 프로세서 기반 시스템은 네트워크를 통해 전송된 데이터를 CPU 캐시에 저장하는 것을 지원하지 않으므로 문제의 영향을 받지 않습니다.

공격에 사용된 방법은 취약점과 유사하다"망치"를 사용하면 RDMA를 사용하는 시스템에서 네트워크 패킷을 조작하여 RAM의 개별 비트 내용을 변경할 수 있습니다. 새로운 문제는 네트워크 카드 및 기타 주변 장치와 프로세서 캐시의 직접적인 상호 작용을 보장하는 DDIO 메커니즘을 사용할 때 지연을 최소화하려는 작업의 결과입니다. 네트워크 카드 패킷을 처리하는 과정에서 데이터는 캐시에 저장되고 메모리에 액세스하지 않고 캐시에서 검색됨)

DDIO 덕분에 프로세서 캐시에는 악의적인 네트워크 활동 중에 생성된 데이터도 포함됩니다. NetCAT 공격은 네트워크 카드가 데이터를 적극적으로 캐시한다는 사실에 기반을 두고 있으며, 현대 로컬 네트워크의 패킷 처리 속도는 캐시 채우기에 영향을 미치기에 충분하며, 데이터 전송 중 지연을 분석하여 캐시에 데이터가 있는지 여부를 판단합니다. 옮기다.

SSH 등을 통한 대화형 세션을 사용하는 경우 키를 누른 직후 네트워크 패킷이 전송됩니다. 패킷 간의 지연은 키 입력 간의 지연과 관련이 있습니다. 통계 분석 방법을 사용하고 키 입력 사이의 지연이 일반적으로 키보드의 키 위치에 따라 달라진다는 점을 고려하면 특정 확률로 입력된 정보를 재현하는 것이 가능합니다. 예를 들어, 대부분의 사람들은 "s" 뒤에 "g"를 입력하는 것보다 "a" 뒤에 "s"를 훨씬 빠르게 입력하는 경향이 있습니다.

또한 프로세서 캐시에 저장된 정보를 통해 SSH와 같은 연결을 처리할 때 네트워크 카드에서 보낸 패킷의 정확한 시간을 판단할 수 있습니다. 특정 트래픽 흐름을 생성함으로써 공격자는 시스템의 특정 활동과 관련된 캐시에 새 데이터가 나타나는 순간을 결정할 수 있습니다. 캐시의 내용을 분석하기 위해 다음 방법을 사용합니다. 프라임+프로브, 여기에는 참조 값 세트로 캐시를 채우고 변경 사항을 확인하기 위해 다시 채울 때 해당 캐시에 대한 액세스 시간을 측정하는 작업이 포함됩니다.

제안된 기법을 사용하면 키 입력뿐만 아니라 CPU 캐시에 저장된 다른 유형의 기밀 데이터도 확인할 수 있습니다. RDMA가 비활성화된 경우에도 공격이 잠재적으로 수행될 수 있지만 RDMA가 없으면 효율성이 감소하고 실행이 훨씬 더 어려워집니다. DDIO를 사용하여 서버가 손상된 후 보안 시스템을 우회하여 데이터를 전송하는 데 사용되는 비밀 통신 채널을 구성하는 것도 가능합니다.

출처 : opennet.ru