Имплементацијата на DDIO во чиповите на Интел овозможува мрежен напад да открие удари на тастатурата во SSH сесија

Група истражувачи од Vrije Universiteit Amsterdam и ETH Цирих развија техника за мрежен напад NetCAT (Network Cache ATtack), што овозможува, користејќи методи за анализа на податоци преку канали од трети страни, далечински да ги одреди копчињата што ги притиснал корисникот додека работи во SSH сесија. Проблемот се појавува само на сервери кои користат технологии RDMA (Далечински директен пристап до меморија) и ДДИО (Data-Direct I/O).

Интел читаат, дека нападот е тешко да се имплементира во пракса, бидејќи бара пристап на напаѓачот до локалната мрежа, стерилни услови и организација на комуникацијата на домаќинот користејќи технологии RDMA и DDIO, кои обично се користат во изолирани мрежи, на пример, во кои компјутерите функционираат кластери. Прашањето е оценето како мало (CVSS 2.6, CVE-2019-11184) и се дава препорака да не се овозможуваат DDIO и RDMA во локални мрежи каде што не е обезбеден безбедносниот периметар и е дозволено поврзување на недоверливи клиенти. DDIO се користи во процесорите на серверите на Интел од 2012 година (Intel Xeon E5, E7 и SP). Системите базирани на процесори од AMD и други производители не се засегнати од проблемот, бидејќи тие не поддржуваат складирање на податоци пренесени преку мрежата во кешот на процесорот.

Методот што се користи за напад наликува на ранливост "Throwhammer“, што ви овозможува да ја менувате содржината на поединечни битови во RAM меморијата преку манипулација со мрежни пакети во системи со RDMA. Новиот проблем е последица на работата за минимизирање на доцнењата при користење на механизмот DDIO, кој обезбедува директна интеракција на мрежната картичка и другите периферни уреди со кешот на процесорот (во процесот на обработка на пакетите на мрежните картички, податоците се складираат во кешот и преземено од кешот, без пристап до меморија).

Благодарение на DDIO, кешот на процесорот вклучува и податоци генерирани за време на злонамерна мрежна активност. Нападот NetCAT се заснова на фактот дека мрежните картички активно ги кешираат податоците, а брзината на обработка на пакети во современите локални мрежи е доволна за да влијае на полнењето на кешот и да го одреди присуството или отсуството на податоци во кешот преку анализа на доцнењата за време на податоците. трансфер.

При користење на интерактивни сесии, како на пример преку SSH, мрежниот пакет се испраќа веднаш откако ќе се притисне копчето, т.е. доцнењата помеѓу пакетите корелираат со доцнењата помеѓу притискањата на копчињата. Користејќи методи за статистичка анализа и земајќи предвид дека доцнењата помеѓу притискањата на тастатурата обично зависат од положбата на копчето на тастатурата, можно е повторно да се креираат внесените информации со одредена веројатност. На пример, повеќето луѓе имаат тенденција да пишуваат „s“ по „a“ многу побрзо отколку „g“ по „s“.

Информациите депонирани во кешот на процесорот, исто така, овозможуваат да се процени точното време на пакетите испратени од мрежната картичка кога се обработуваат врските како што е SSH. Со генерирање на одреден проток на сообраќај, напаѓачот може да го одреди моментот кога се појавуваат нови податоци во кешот поврзан со одредена активност во системот. За да се анализира содржината на кешот, се користи методот Prime+Probe, што вклучува пополнување на кешот со референтно множество вредности и мерење на времето на пристап до нив при повторно населување за да се утврдат промените.

Можно е предложената техника да се користи за одредување не само притискање на тастатурата, туку и други видови доверливи податоци депонирани во кешот на процесорот. Нападот потенцијално може да се изврши дури и ако RDMA е оневозможен, но без RDMA неговата ефикасност е намалена и извршувањето станува значително потешко. Исто така, можно е да се користи DDIO за да се организира таен комуникациски канал што се користи за пренос на податоци откако серверот е компромитиран, заобиколувајќи ги безбедносните системи.

Извор: opennet.ru