{"id":73756,"date":"2020-03-11T20:42:30","date_gmt":"2020-03-11T17:42:30","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/lvi-novyj-klass-atak-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu"},"modified":"2020-03-11T20:42:30","modified_gmt":"2020-03-11T17:42:30","slug":"lvi-novyj-klass-atak-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/lvi-novyj-klass-atak-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu","title":{"rendered":"LVI \u2014 nowa klasa atak\u00f3w na mechanizm spekulacyjnego wykonywania w CPU","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Opublikowane<\/a><\/noindex> informacje o nowej klasie atak\u00f3w LVI<\/a><\/noindex> (Load Value Injection, CVE-2020-0551<\/a><\/noindex>) na mechanizm spekulacyjnego wykonywania w procesorach Intel, kt\u00f3re mog\u0105 by\u0107 wykorzystywane do organizowania wyciek\u00f3w kluczy i danych poufnych z enclav Intel SGX oraz innych proces\u00f3w.<\/p>\n

Nowa klasa atak\u00f3w opiera si\u0119 na manipulacjach z tymi samymi mikroarchitektonicznymi strukturami, co w atakach MDS<\/a><\/noindex> (Microarchitectural Data Sampling), Spectre i Meltdown<\/a><\/noindex>Nowe ataki nie s\u0105 blokowane przez istniej\u0105ce metody ochrony przed Meltdown, Spectre, MDS i innymi podobnymi atakami. Aby zapewni\u0107 skuteczn\u0105 ochron\u0119 przed LVI, wymagane s\u0105 zmiany sprz\u0119towe w CPU. Przy organizacji ochrony programowej poprzez dodanie przez kompilator instrukcji LFENCE po ka\u017cdej operacji \u0142adowania z pami\u0119ci oraz zamian\u0119 instrukcji RET na POP, LFENCE i JMP, wyst\u0119puj\u0105 zbyt du\u017ce obci\u0105\u017cenia - wed\u0142ug oceny badaczy ca\u0142kowita programowa ochrona mo\u017ce prowadzi\u0107 do spadku wydajno\u015bci od 2 do 19 razy. <\/p>\n

Cz\u0119\u015bciowo trudno\u015b\u0107 w zablokowaniu problemu rekompensuje fakt, \u017ce obecnie atak ma bardziej teoretyczny ni\u017c praktyczny charakter (atak jest teoretycznie mo\u017cliwy, ale bardzo trudny do zrealizowania i powtarzalny tylko w syntetycznych testach).
\nFirma Intel przypisa\u0142a<\/a><\/noindex> problemowi umiarkowany poziom niebezpiecze\u0144stwa (5.6 w skali 10) oraz wyda\u0142a<\/a><\/noindex> aktualizacj\u0119 oprogramowania uk\u0142adowego i SDK dla \u015brodowiska SGX, w kt\u00f3rych pr\u00f3bowa\u0142a zablokowa\u0107 przeprowadzenie ataku obej\u015bciem. Proponowane metody atak\u00f3w s\u0105 obecnie stosowane tylko w procesorach Intel, ale nie mo\u017cna wykluczy\u0107 mo\u017cliwo\u015bci dostosowania LVI do innych procesor\u00f3w, wobec kt\u00f3rych zastosowanie maj\u0105 ataki klasy Meltdown.<\/p>\n

Problem zosta\u0142 wykryty w kwietniu ubieg\u0142ego roku przez badacza Jo Vana Bulcka z Uniwersytetu w Louvain, po czym przy udziale 9 badaczy z innych uniwersytet\u00f3w opracowano pi\u0119\u0107 podstawowych metod przeprowadzania atak\u00f3w, z kt\u00f3rych ka\u017cda dopuszcza istnienie bardziej specyficznych wariant\u00f3w<\/a><\/noindex>. Niezale\u017cnie w lutym tego roku badacze z firmy Bitdefender r\u00f3wnie\u017c odkryli<\/a><\/noindex> jeden z wariant\u00f3w ataku LVI i poinformowali o nim Intela. Warianty atak\u00f3w r\u00f3\u017cni\u0105 si\u0119 u\u017cyciem r\u00f3\u017cnych mikroarchitektonicznych struktur, takich jak bufor pami\u0119ci (SB, Store Buffer), bufor \u0142adowania (LFB, Line Fill Buffer), bufor kontekstu FPU i pami\u0119\u0107 podr\u0119czna pierwszego poziomu (L1D), wcze\u015bniej stosowanych w takich atakach jak ZombieLoad<\/a><\/noindex>, RIDL<\/a><\/noindex>, Fallout<\/a><\/noindex>, LazyFP<\/a><\/noindex>, Foreshadow<\/a><\/noindex> i Meltdown<\/a><\/noindex>.<\/p>\n

\"LVI<\/a><\/noindex><\/center><\/p>\n

G\u0142\u00f3wnym r\u00f3\u017cnicy<\/a><\/noindex> LVI od atak\u00f3w MDS polega na tym, \u017ce MDS manipuluje definicj\u0105 zawarto\u015bci struktury mikroarchitektonicznej, pozosta\u0142ej w pami\u0119ci podr\u0119cznej po spekulatywnym przetwarzaniu wyj\u0105tk\u00f3w (fault) lub operacji load i store, podczas gdy
\nataki LVI pozwalaj\u0105 na wstrzykni\u0119cie danych atakuj\u0105cego do struktur mikroarchitektonicznych, aby wp\u0142yn\u0105\u0107 na nast\u0119pne spekulatywne wykonywanie kodu ofiary. Dzi\u0119ki wskazanym manipulacjom atakuj\u0105cy mo\u017ce wydoby\u0107 zawarto\u015b\u0107 tajnych struktur danych w innych procesach podczas wykonywania okre\u015blonego kodu na docelowym rdzeniu CPU.<\/p>\n

\"LVI<\/a><\/noindex><\/center><\/p>\n

Dla exploatacji problemu<\/a><\/noindex> w kodzie procesu-ofiary musz\u0105 wyst\u0119powa\u0107<\/a><\/noindex> specjalne sekwencje kodu (gad\u017cety), w kt\u00f3rych \u0142adowana jest kontrolowana przez atakuj\u0105cego warto\u015b\u0107, a za\u0142adowanie tej warto\u015bci prowadzi do wyst\u0105pienia wyj\u0105tk\u00f3w (fault, abort lub assist), kt\u00f3re odrzucaj\u0105 wynik i ponownie wykonuj\u0105 instrukcj\u0119. Podczas obs\u0142ugi wyj\u0105tku powstaje spekulatywne okno, w kt\u00f3rym nast\u0119puje wyciek przetwarzanych w gad\u017cecie danych. W szczeg\u00f3lno\u015bci procesor zaczyna wykonywa\u0107 w trybie spekulatywnym fragment kodu (gad\u017cet), a nast\u0119pnie stwierdza, \u017ce przewidywanie si\u0119 nie sprawdzi\u0142o, i cofa operacje do stanu pocz\u0105tkowego, ale dane przetworzone w trakcie spekulatywnego wykonywania osiadaj\u0105 w pami\u0119ci podr\u0119cznej L1D i mikroarchitektonicznych buforach i s\u0105 dost\u0119pne do wydobycia z nich z u\u017cyciem znanych metod ustalania pozosta\u0142ych danych przez kana\u0142y boczne.<\/p>\n

Wyj\u0105tek \u00abassist\u00bb, w przeciwie\u0144stwie do \u00abfault\u00bb, jest obs\u0142ugiwany wewn\u0105trz procesora bez wywo\u0142ywania programowych obs\u0142ugiwaczy. Assist mo\u017ce wyst\u0105pi\u0107 na przyk\u0142ad, gdy konieczne jest zaktualizowanie bitu A (Accessed) lub D (Dirty) w tabeli stron pami\u0119ci. G\u0142\u00f3wn\u0105 trudno\u015bci\u0105 w przeprowadzeniu ataku na inne procesy jest to, jak zainicjowa\u0107 wyst\u0105pienie assist, manipuluj\u0105c procesem ofiary. Na chwil\u0119 obecn\u0105 nie ma niezawodnych sposob\u00f3w na to, ale w przysz\u0142o\u015bci nie mo\u017cna wykluczy\u0107 ich znalezienia. Mo\u017cliwo\u015b\u0107 przeprowadzenia ataku zosta\u0142a na razie potwierdzona tylko dla Enklaw Intel SGX, pozosta\u0142e scenariusze maj\u0105 charakter teoretyczny lub s\u0105 powtarzalne w syntetycznych warunkach (wymagane jest dodanie do kodu okre\u015blonych gad\u017cet\u00f3w).<\/p>\n

\"LVI<\/a><\/noindex><\/center><\/p>\n

\"LVI<\/a><\/noindex><\/center><\/p>\n

Mo\u017cliwe wektory atak\u00f3w:<\/p>\n