Firma Google opublikowa\u0142a kilka prototyp\u00f3w exploit\u00f3w, kt\u00f3re pokazuj\u0105 mo\u017cliwo\u015b\u0107 wykorzystania luk klasy Spectre podczas wykonywania kodu JavaScript w przegl\u0105darce, omijaj\u0105c wcze\u015bniej wprowadzone metody zabezpiecze\u0144. Exploity mog\u0105 by\u0107 u\u017cywane do uzyskania dost\u0119pu do pami\u0119ci procesu, kt\u00f3ry przetwarza tre\u015bci webowe na bie\u017c\u0105cej karcie. W celu przetestowania dzia\u0142ania exploit\u00f3w uruchomiono stron\u0119 leaky.page, a kod opisuj\u0105cy logik\u0119 dzia\u0142ania zosta\u0142 umieszczony na GitHubie. <\/p>\n
Proponowany prototyp jest zaprojektowany do przeprowadzenia ataku na systemy z procesorami Intel Core i7-6500U w \u015brodowisku z systemem Linux i przegl\u0105dark\u0105 Chrome 88. Aby zastosowa\u0107 exploit w innych \u015brodowiskach, wymagane s\u0105 zmiany. Metoda wykorzystania nie jest specyficzna dla procesor\u00f3w Intel \u2014 po odpowiedniej adaptacji potwierdzono dzia\u0142anie exploit\u00f3w na systemach z procesorami innych producent\u00f3w, w tym Apple M1 opartym na architekturze ARM. Po niewielkich poprawkach exploit dzia\u0142a r\u00f3wnie\u017c w innych systemach operacyjnych oraz w innych przegl\u0105darka opartych na silniku Chromium. <\/p>\n
W \u015brodowisku opartym na standardowym Chrome 88 i procesorach Intel Skylake uda\u0142o si\u0119 osi\u0105gn\u0105\u0107 wyciek danych z procesu odpowiedzialnego za przetwarzanie tre\u015bci webowych na bie\u017c\u0105cej karcie Chrome (proces renderowania) z pr\u0119dko\u015bci\u0105 1 kilobajta na sekund\u0119. Dodatkowo opracowano alternatywne prototypy, na przyk\u0142ad exploit, kt\u00f3ry przy zmniejszonej stabilno\u015bci zwi\u0119ksza pr\u0119dko\u015b\u0107 wycieku do 8 kB\/s przy u\u017cyciu timera performance.now() z dok\u0142adno\u015bci\u0105 5 mikrosekund (0,005 milisekundy). Przygotowano tak\u017ce wariant dzia\u0142aj\u0105cy przy dok\u0142adno\u015bci timera na poziomie jednej milisekundy, kt\u00f3ry m\u00f3g\u0142 by\u0107 u\u017cywany do organizowania dost\u0119pu do pami\u0119ci innego procesu z pr\u0119dko\u015bci\u0105 oko\u0142o 60 bajt\u00f3w na sekund\u0119. <\/p>\n
Opublikowany kod demonstracyjny sk\u0142ada si\u0119 z trzech cz\u0119\u015bci. Pierwsza cz\u0119\u015b\u0107 wykonuje kalibracj\u0119 timera w celu oceny czasu potrzebnego na wykonanie operacji niezb\u0119dnych do przywr\u00f3cenia danych pozosta\u0142ych w pami\u0119ci podr\u0119cznej procesora w wyniku spekulacyjnego wykonywania instrukcji CPU. Druga cz\u0119\u015b\u0107 okre\u015bla uk\u0142ad pami\u0119ci u\u017cywany podczas rozmieszczania tablicy JavaScript. <\/p>\n
Trzecia cz\u0119\u015b\u0107 bezpo\u015brednio wykorzystuje luk\u0119 Spectre do okre\u015blenia zawarto\u015bci pami\u0119ci bie\u017c\u0105cego procesu, tworz\u0105c warunki do spekulatywnego wykonywania okre\u015blonych operacji, kt\u00f3rych wyniki s\u0105 odrzucane przez procesor po ustaleniu nieudanego przewidywania, ale \u015blady wykonania pozostaj\u0105 w og\u00f3lnym cache\u2019u i mog\u0105 by\u0107 odzyskane za pomoc\u0105 metod identyfikacji zawarto\u015bci cache\u2019u przez kana\u0142y boczne, analizuj\u0105cych zmiany czasu dost\u0119pu do danych pami\u0119tanych i niepami\u0119tanych. <\/p>\n
Proponowana technika eksploatacji pozwala obej\u015b\u0107 si\u0119 bez wysokiej precyzji timer\u00f3w dost\u0119pnych przez API performance.now() oraz bez wsparcia dla typu SharedArrayBuffer, kt\u00f3ry umo\u017cliwia tworzenie tablic w pami\u0119ci wsp\u00f3\u0142dzielonej. Eksploitat zawiera gad\u017cet Spectre, kt\u00f3ry wywo\u0142uje kontrolowane spekulatywne wykonanie kodu oraz analizator wyciek\u00f3w przez kana\u0142y boczne, identyfikuj\u0105cy dane, kt\u00f3re trafi\u0142y do cache\u2019u w wyniku spekulatywnego wykonania. <\/p>\n
Gad\u017cet jest zrealizowany przy pomocy tablicy JavaScript, w kt\u00f3rej podejmowana jest pr\u00f3ba dost\u0119pu do obszaru poza granicami bufora, maj\u0105ca wp\u0142yw na stan bloku przewidywania przej\u015b\u0107 z powodu dodanej przez kompilator kontroli rozmiaru bufora (procesor spogl\u0105da w przysz\u0142o\u015b\u0107, spekulatywnie wykonuj\u0105c dost\u0119p, ale cofa stan po sprawdzeniu). W celu analizy zawarto\u015bci cache\u2019u przy niskiej precyzji timera zaproponowano metod\u0119, kt\u00f3ra oszukuje stosowan\u0105 w procesorach strategi\u0119 usuwania danych z cache\u2019u Tree-PLRU, pozwalaj\u0105c na znaczne zwi\u0119kszenie r\u00f3\u017cnicy w czasie przy zwracaniu warto\u015bci z cache\u2019u i przy braku warto\u015bci w cache\u2019u. <\/p>\n
Zauwa\u017cono, \u017ce firma Google opublikowa\u0142a prototyp eksploita, aby pokaza\u0107 realistyczno\u015b\u0107 atak\u00f3w wykorzystuj\u0105cych luki klasy Spectre oraz aby zach\u0119ci\u0107 programist\u00f3w webowych do stosowania technik minimalizuj\u0105cych ryzyko takich atak\u00f3w. Przy tym Google uwa\u017ca, \u017ce bez istotnej przer\u00f3bki proponowanego prototypu nie mo\u017cna stworzy\u0107 uniwersalnych eksploitat\u00f3w, gotowych nie tylko do demonstracji, ale i do powszechnego zastosowania. <\/p>\n
Aby zminimalizowa\u0107 ryzyko, w\u0142a\u015bciciele stron internetowych powinni korzysta\u0107 z ostatnio wprowadzonych nag\u0142\u00f3wk\u00f3w Cross-Origin Opener Policy (COOP), Cross-Origin Embedder Policy (COEP), Cross-Origin Resource Policy (CORP), Fetch Metadata Request, X-Frame-Options, X-Content-Type-Options oraz SameSite Cookie. Mechanizmy te nie chroni\u0105 bezpo\u015brednio przed atakami, ale pozwalaj\u0105 na izolacj\u0119 danych strony przed wyciekiem do proces\u00f3w, w kt\u00f3rych mo\u017ce by\u0107 wykonany kod JavaScript atakuj\u0105cego (wyciek nast\u0119puje z pami\u0119ci bie\u017c\u0105cego procesu, w kt\u00f3rym opr\u00f3cz kodu atakuj\u0105cego mog\u0105 by\u0107 przetwarzane dane innej strony otwartej w tej samej karcie). G\u0142\u00f3wn\u0105 ide\u0105 jest rozdzielenie wykonywania kodu strony od zewn\u0119trznego kodu pochodz\u0105cego z niepewnych \u017ar\u00f3de\u0142, na przyk\u0142ad w\u0142\u0105czanego przez iframe.
![\"Odtwarzaj](\"https:\/\/img.youtube.com\/vi\/V_9cQP60ZGI\/hqdefault.jpg\")
\r\n