Intel चिप्समा DDIO कार्यान्वयनले नेटवर्क आक्रमणलाई SSH सत्रमा कीस्ट्रोकहरू पत्ता लगाउन अनुमति दिन्छ

Vrije Universiteit एम्स्टर्डम र ETH ज्यूरिखका अनुसन्धानकर्ताहरूको समूहले नेटवर्क आक्रमण प्रविधि विकास गरेको छ। NetCAT (नेटवर्क क्यास ATtack), जसले तेस्रो-पक्ष च्यानलहरू मार्फत डेटा विश्लेषण विधिहरू प्रयोग गरेर SSH सत्रमा काम गर्दा प्रयोगकर्ताद्वारा थिचेको कुञ्जीहरू टाढाबाट निर्धारण गर्न अनुमति दिन्छ। समस्या टेक्नोलोजीहरू प्रयोग गर्ने सर्भरहरूमा मात्र देखिन्छ RDMA (रिमोट प्रत्यक्ष मेमोरी पहुँच) र DDIO (डेटा-डायरेक्ट I/O)।

Intel सोच्दछ, कि आक्रमण व्यवहारमा कार्यान्वयन गर्न गाह्रो छ, किनकि यसको लागि स्थानीय नेटवर्कमा आक्रमणकारीको पहुँच, बाँझ अवस्था र RDMA र DDIO प्रविधिहरू प्रयोग गरेर होस्ट संचारको संगठन आवश्यक छ, जुन सामान्यतया पृथक नेटवर्कहरूमा प्रयोग गरिन्छ, उदाहरणका लागि, जसमा कम्प्युटिङ। क्लस्टरहरू सञ्चालन गर्छन्। मुद्दा माइनर रेट गरिएको छ (CVSS 2.6, CVE-2019-11184) र स्थानीय नेटवर्कहरूमा DDIO र RDMA सक्षम नगर्न सिफारिस गरिएको छ जहाँ सुरक्षा परिधि प्रदान गरिएको छैन र अविश्वसनीय ग्राहकहरूको जडानलाई अनुमति दिइएको छ। DDIO 2012 देखि Intel सर्भर प्रोसेसरहरूमा प्रयोग गरिएको छ (Intel Xeon E5, E7 र SP)। AMD र अन्य निर्माताहरूबाट प्रोसेसरहरूमा आधारित प्रणालीहरू समस्याबाट प्रभावित हुँदैनन्, किनकि तिनीहरूले CPU क्यासमा नेटवर्कमा स्थानान्तरण गरिएको डाटा भण्डारण गर्न समर्थन गर्दैनन्।

आक्रमणको लागि प्रयोग गरिएको विधि कमजोरी जस्तो देखिन्छ "थ्रोह्यामर", जसले तपाईंलाई RDMA सँग प्रणालीहरूमा नेटवर्क प्याकेटहरूको हेरफेर मार्फत RAM मा व्यक्तिगत बिटहरूको सामग्रीहरू परिवर्तन गर्न अनुमति दिन्छ। नयाँ समस्या DDIO मेकानिजम प्रयोग गर्दा ढिलाइ कम गर्ने कार्यको परिणाम हो, जसले नेटवर्क कार्ड र प्रोसेसर क्याससँग अन्य परिधीय उपकरणहरूको प्रत्यक्ष अन्तरक्रिया सुनिश्चित गर्दछ (नेटवर्क कार्ड प्याकेटहरू प्रशोधन गर्ने प्रक्रियामा, डाटा क्यासमा भण्डारण गरिन्छ र। मेमोरी पहुँच नगरी क्यासबाट पुनःप्राप्त गरियो)।

DDIO लाई धन्यवाद, प्रोसेसर क्यासले खराब नेटवर्क गतिविधिको समयमा उत्पन्न डाटा पनि समावेश गर्दछ। NetCAT आक्रमण यस तथ्यमा आधारित छ कि नेटवर्क कार्डहरूले सक्रिय रूपमा डाटा क्यास गर्दछ, र आधुनिक स्थानीय नेटवर्कहरूमा प्याकेट प्रशोधनको गति क्यास भर्नलाई प्रभाव पार्न र डाटाको समयमा ढिलाइको विश्लेषण गरेर क्यासमा डाटाको उपस्थिति वा अनुपस्थिति निर्धारण गर्न पर्याप्त छ। स्थानान्तरण।

अन्तरक्रियात्मक सत्रहरू प्रयोग गर्दा, जस्तै SSH मार्फत, नेटवर्क प्याकेट कुञ्जी थिचेपछि तुरुन्तै पठाइन्छ, अर्थात्। प्याकेटहरू बीचको ढिलाइ किस्ट्रोकहरू बीचको ढिलाइसँग सम्बन्धित छ। सांख्यिकीय विश्लेषण विधिहरू प्रयोग गरेर र किस्ट्रोकहरू बीचको ढिलाइ सामान्यतया किबोर्डमा कुञ्जीको स्थितिमा निर्भर हुन्छ भन्ने कुरालाई ध्यानमा राख्दै, निश्चित सम्भावनाको साथ प्रविष्ट गरिएको जानकारी पुन: सिर्जना गर्न सम्भव छ। उदाहरणका लागि, अधिकांश मानिसहरू "s" पछि "g" भन्दा धेरै छिटो "a" पछि "s" टाइप गर्ने झुकाव राख्छन्।

प्रोसेसर क्यासमा जम्मा गरिएको जानकारीले SSH जस्ता जडानहरू प्रशोधन गर्दा नेटवर्क कार्डद्वारा पठाइएको प्याकेटहरूको सही समयको न्याय गर्न पनि अनुमति दिन्छ। एक निश्चित ट्राफिक प्रवाह उत्पन्न गरेर, आक्रमणकर्ताले प्रणालीमा एक विशिष्ट गतिविधिसँग सम्बन्धित क्यासमा नयाँ डाटा देखा पर्दा क्षण निर्धारण गर्न सक्छ। क्यास सामग्री विश्लेषण गर्न, विधि प्रयोग गरिन्छ प्राइम + प्रोब, जसमा मानहरूको सन्दर्भ सेटको साथ क्यास भर्ने र परिवर्तनहरू निर्धारण गर्न पुन: भरिएको बेलामा पहुँच समय नाप्ने समावेश छ।

यो सम्भव छ कि प्रस्तावित प्रविधि किस्ट्रोक मात्र होइन, CPU क्यासमा जम्मा गरिएका अन्य प्रकारका गोप्य डाटा पनि निर्धारण गर्न प्रयोग गर्न सकिन्छ। RDMA असक्षम भए पनि आक्रमण सम्भावित रूपमा गर्न सकिन्छ, तर RDMA बिना यसको प्रभावकारिता कम हुन्छ र कार्यान्वयन धेरै गाह्रो हुन्छ। DDIO प्रयोग गर्न पनि सम्भव छ सुरक्षा प्रणालीहरूलाई बाइपास गरेर, सर्भरमा सम्झौता गरिसकेपछि डाटा स्थानान्तरण गर्न प्रयोग गरिने गुप्त सञ्चार च्यानललाई व्यवस्थित गर्न।

स्रोत: opennet.ru