Ранливост во чиповите на Qualcomm што овозможува да се извлечат приватни клучеви од складирањето на TrustZone

Истражувачите од NCC Group непокриен детали ранливости (CVE-2018-11976) во чиповите на Qualcomm, што ви овозможува да ја одредите содржината на приватните клучеви за шифрирање лоцирани во изолирана енклава Qualcomm QSEE (Qualcomm Secure Execution Environment), базирана на технологијата ARM TrustZone. Проблемот се манифестира во повеќето Snapdragon SoC, кој стана широко распространет кај паметните телефони базирани на платформата Android. Поправките што го решаваат проблемот се веќе вклучени во априлското ажурирање на Android и новите изданија на фирмверот за чиповите на Qualcomm. На Qualcomm му требаше повеќе од една година да подготви поправка информациите за ранливоста првично беа испратени до Qualcomm на 19 март 2018 година.

Да потсетиме дека технологијата ARM TrustZone ви овозможува да креирате заштитени околини изолирани со хардвер кои се целосно одвоени од главниот систем и работат на посебен виртуелен процесор користејќи посебен специјализиран оперативен систем. Главната цел на TrustZone е да обезбеди изолирано извршување на процесори за клучеви за шифрирање, биометриска автентикација, податоци за плаќање и други доверливи информации. Интеракцијата со главниот оперативен систем се врши индиректно преку интерфејсот за испраќање. Приватните клучеви за шифрирање се чуваат во складиште за клучеви изолирани со хардвер, кои, доколку се имплементираат правилно, може да го спречат нивното истекување доколку основниот систем е компромитиран.

Ранливоста се должи на пропуст во имплементацијата на алгоритмот за обработка на елипсовидна крива, што доведе до протекување на информации за напредокот на обработката на податоците. Истражувачите развија техника за напад на страничен канал што овозможува користење на постојните индиректни протекувања за враќање на содржината на приватните клучеви лоцирани во хардверски изолиран Android Keystore. Протекувањето се одредува врз основа на анализа на активноста на блокот за предвидување гранки и промени во времето на пристап до податоците во меморијата. Во експериментот, истражувачите успешно демонстрираа враќање на 224- и 256-битни клучеви ECDSA од продавницата за клучеви изолирана со хардвер што се користи во паметниот телефон Nexus 5X. Враќањето на клучот бараше генерирање на околу 12 илјади дигитални потписи, што траеше повеќе од 14 часа. Алатки користени за извршување на нападот Cachegrab.

Главната причина за проблемот е споделувањето на заеднички хардверски компоненти и кеш за пресметки во TrustZone и во главниот систем - изолацијата се изведува на ниво на логичко раздвојување, но со користење на заеднички компјутерски единици и со траги од пресметки и информации за гранката адресите се депонираат во кешот на заедничкиот процесор. Користејќи го методот Prime+Probe, базиран на проценка на промените во времето на пристап до кешираните информации, можно е, со проверка на присуството на одредени обрасци во кешот, да се следат тековите на податоци и знаците на извршување на кодот поврзани со пресметките на дигиталните потписи во TrustZone со прилично висока точност.

Поголемиот дел од времето за да се генерира дигитален потпис со користење на клучеви ECDSA во чиповите на Qualcomm се троши на извршување операции за множење во јамка користејќи вектор за иницијализација кој е непроменет за секој потпис (нунциј). Ако напаѓачот може да врати барем неколку бита со информации за овој вектор, станува возможно да се изврши напад за последователно враќање на целиот приватен клуч.

Во случајот на Qualcomm, две места каде што протекоа такви информации беа идентификувани во алгоритмот за множење: при извршување операции за пребарување во табели и во кодот за условно пребарување на податоци врз основа на вредноста на последниот бит во векторот „nonce“. И покрај фактот дека кодот на Qualcomm содржи мерки за спречување на протекување информации преку канали од трети страни, развиениот метод за напад ви овозможува да ги заобиколите овие мерки и да одредите неколку битови од вредноста „nonce“, кои се доволни за враќање на 256-битни клучеви ECDSA.

Извор: opennet.ru