A Google publicou v\u00e1rios prot\u00f3tipos de exploits que demonstram a possibilidade de explora\u00e7\u00e3o de vulnerabilidades da classe Spectre ao executar c\u00f3digo JavaScript no navegador, contornando os m\u00e9todos de prote\u00e7\u00e3o adicionados anteriormente. Os exploits podem ser utilizados para obter acesso \u00e0 mem\u00f3ria do processo que est\u00e1 processando conte\u00fado web na guia atual. Para testar o funcionamento do exploit, foi lan\u00e7ado o site leaky.page, e o c\u00f3digo que descreve a l\u00f3gica de funcionamento est\u00e1 dispon\u00edvel no GitHub. <\/p>\n
O prot\u00f3tipo proposto \u00e9 projetado para realizar um ataque em sistemas com processadores Intel Core i7-6500U em um ambiente com Linux e Chrome 88. Para aplicar o exploit em outros ambientes, s\u00e3o necess\u00e1rias modifica\u00e7\u00f5es. O m\u00e9todo de explora\u00e7\u00e3o n\u00e3o \u00e9 espec\u00edfico para processadores Intel \u2014 ap\u00f3s a adapta\u00e7\u00e3o adequada, a funcionalidade do exploit foi confirmada em sistemas com CPUs de outros fabricantes, incluindo Apple M1, baseado na arquitetura ARM. Ap\u00f3s pequenas corre\u00e7\u00f5es, o exploit tamb\u00e9m \u00e9 funcional em outros sistemas operacionais e em outros navegadores baseados no mecanismo Chromium. <\/p>\n
Em um ambiente baseado no Chrome padr\u00e3o 88 e em processadores Intel Skylake, foi poss\u00edvel alcan\u00e7ar a vazamento de dados do processo respons\u00e1vel pelo processamento de conte\u00fado web na guia atual do Chrome (processo de renderiza\u00e7\u00e3o), com uma taxa de 1 kilobyte por segundo. Al\u00e9m disso, foram desenvolvidos prot\u00f3tipos alternativos, como um exploit que, ao custo de reduzir a estabilidade, aumenta a velocidade de vazamento para 8kB\/s ao usar o timer performance.now() com precis\u00e3o de 5 microssegundos (0.005 milissegundos). Tamb\u00e9m foi preparado um variante que opera com precis\u00e3o do timer em n\u00edvel de um milissegundo, que poderia ser utilizado para organizar acesso \u00e0 mem\u00f3ria de outro processo com uma taxa de cerca de 60 bytes por segundo. <\/p>\n
O c\u00f3digo de demonstra\u00e7\u00e3o publicado \u00e9 composto por tr\u00eas partes. A primeira parte calibra o timer para estimar o tempo de execu\u00e7\u00e3o das opera\u00e7\u00f5es necess\u00e1rias para recuperar dados que permaneceram no cache do processador ap\u00f3s a execu\u00e7\u00e3o especulativa de instru\u00e7\u00f5es da CPU. A segunda parte determina a disposi\u00e7\u00e3o da mem\u00f3ria utilizada ao alocar um array JavaScript. <\/p>\n
A terceira parte executa diretamente a explora\u00e7\u00e3o da vulnerabilidade Spectre para determinar o conte\u00fado da mem\u00f3ria do processo atual ao criar condi\u00e7\u00f5es para a execu\u00e7\u00e3o especulativa de determinadas opera\u00e7\u00f5es, cujos resultados s\u00e3o descartados pelo processador ap\u00f3s determinar uma previs\u00e3o malsucedida, mas os rastros da execu\u00e7\u00e3o ficam armazenados no cache comum e podem ser recuperados por meio de m\u00e9todos de detec\u00e7\u00e3o de conte\u00fado de cache atrav\u00e9s de canais laterais, analisando a altera\u00e7\u00e3o no tempo de acesso aos dados armazenados em cache e n\u00e3o armazenados em cache. <\/p>\n
A t\u00e9cnica de explora\u00e7\u00e3o proposta permite a dispensar temporizadores de alta precis\u00e3o dispon\u00edveis atrav\u00e9s da API performance.now(), e sem suporte ao tipo SharedArrayBuffer, que permite criar arrays em mem\u00f3ria compartilhada. O exploit inclui um gadget Spectre, que provoca a execu\u00e7\u00e3o especulativa controlada do c\u00f3digo, e um analisador de vazamento por canais laterais, que identifica os dados que foram armazenados em cache durante a execu\u00e7\u00e3o especulativa. <\/p>\n
O gadget \u00e9 implementado com um array JavaScript, na qual h\u00e1 uma tentativa de acesso a uma \u00e1rea fora dos limites do buffer, afetando o estado do bloco de predi\u00e7\u00e3o de desvios devido \u00e0 verifica\u00e7\u00e3o de tamanho do buffer adicionada pelo compilador (o processador, prevendo, executa especulativamente a chamada, mas reverte o estado ap\u00f3s a verifica\u00e7\u00e3o). Para analisar o conte\u00fado do cache em condi\u00e7\u00f5es de precis\u00e3o insuficiente do timer, \u00e9 proposto um m\u00e9todo que engana a estrat\u00e9gia de substitui\u00e7\u00e3o de dados do cache Tree-PLRU aplicada nos processadores, permitindo que, ao aumentar o n\u00famero de ciclos, a diferen\u00e7a de tempo ao retornar um valor do cache e ao n\u00e3o haver valor no cache seja significativamente ampliada. <\/p>\n
Ressalta-se que a empresa Google publicou um prot\u00f3tipo de exploit para demonstrar a realidade de ataques utilizando vulnerabilidades da classe Spectre e para incentivar os desenvolvedores web a aplicar t\u00e9cnicas que minimizem os riscos de tais ataques. Neste contexto, a Google acredita que, sem uma reestrutura\u00e7\u00e3o substancial do prot\u00f3tipo proposto, n\u00e3o ser\u00e1 poss\u00edvel criar exploits universais, prontos n\u00e3o apenas para demonstra\u00e7\u00e3o, mas tamb\u00e9m para aplica\u00e7\u00e3o generalizada. <\/p>\n
Para reduzir o risco, os propriet\u00e1rios de sites s\u00e3o recomendados a utilizar os cabe\u00e7alhos implementados recentemente, como Cross-Origin Opener Policy (COOP), Cross-Origin Embedder Policy (COEP), Cross-Origin Resource Policy (CORP), Fetch Metadata Request, X-Frame-Options, X-Content-Type-Options e SameSite Cookie. Esses mecanismos n\u00e3o protegem diretamente contra ataques, mas ajudam a isolar os dados do site de vazamentos em processos onde o c\u00f3digo JavaScript do atacante pode ser executado (o vazamento ocorre a partir da mem\u00f3ria do processo atual, que pode estar processando dados de outro site aberto na mesma aba, al\u00e9m do c\u00f3digo do atacante). A ideia principal \u00e9 separar em diferentes processos a execu\u00e7\u00e3o do c\u00f3digo do site do c\u00f3digo de terceiros, obtido de fontes n\u00e3o confi\u00e1veis, por exemplo, inclu\u00eddos via iframe.
![\"Por](\"https:\/\/img.youtube.com\/vi\/V_9cQP60ZGI\/hqdefault.jpg\")
\r\n