Skupina v\u00fdskumn\u00edkov z Texask\u00fdch, Illinois a Washingtonsk\u00fdch univerz\u00edt zverejnila inform\u00e1cie o novej s\u00e9rii \u00fatokov prostredn\u00edctvom bo\u010dn\u00fdch kan\u00e1lov (CVE-2022-23823, CVE-2022-24436), ktor\u00e9 dostali k\u00f3dov\u00e9 meno Hertzbleed. Navrhnut\u00e1 met\u00f3da \u00fatoku je zalo\u017een\u00e1 na charakteristik\u00e1ch dynamick\u00e9ho riadenia frekvencie v modern\u00fdch procesoroch a zasahuje v\u0161etky aktu\u00e1lne CPU Intel a AMD. Probl\u00e9m sa potenci\u00e1lne m\u00f4\u017ee prejavi\u0165 aj v procesoroch in\u00fdch v\u00fdrobcov, ktor\u00e9 podporuj\u00fa dynamick\u00e9 zmeny frekvencie, napr\u00edklad v syst\u00e9moch ARM, ale vykonan\u00e9 \u0161t\u00fadie sa obmedzili na testovanie \u010dipov Intel a AMD. Zdrojov\u00e9 k\u00f3dy s implement\u00e1ciou met\u00f3dy \u00fatoku boli zverejnen\u00e9 na GitHub (implement\u00e1cia bola testovan\u00e1 na po\u010d\u00edta\u010di s CPU Intel i7-9700). <\/p>\n
Na optimaliz\u00e1ciu spotreby energie a prevenciu prehriatia procesory dynamicky menia svoju frekvenciu v z\u00e1vislosti od za\u0165a\u017eenia, \u010do vedie k zmene v\u00fdkonu a ovplyv\u0148uje \u010das realiz\u00e1cie oper\u00e1ci\u00ed (zmena frekvencie o 1 Hz vedie k zmene v\u00fdkonu o 1 takt za sekundu). V priebehu vykonan\u00e9ho v\u00fdskumu sa zistilo, \u017ee za ur\u010dit\u00fdch podmienok na procesoroch AMD a Intel zmena frekvencie priamo koreluje s sprac\u00favan\u00fdmi \u00fadajmi, \u010do napr\u00edklad vedie k tomu, \u017ee \u010das v\u00fdpo\u010dtu oper\u00e1ci\u00ed \u201e2022 + 23823\u201c a \u201e2022 + 24436\u201c bude odli\u0161n\u00fd. Na z\u00e1klade anal\u00fdzy rozdielov v \u010dase vykonania oper\u00e1ci\u00ed s r\u00f4znymi d\u00e1tami je mo\u017en\u00e9 nepriamo obnovi\u0165 inform\u00e1cie pou\u017eit\u00e9 pri v\u00fdpo\u010dtoch. Pri tom v vysokor\u00fdchlostn\u00fdch sie\u0165ach s predv\u00eddate\u013en\u00fdmi kon\u0161tantn\u00fdmi latenciami je mo\u017en\u00e9 \u00fatok uskuto\u010dni\u0165 na dia\u013eku, hodnoten\u00edm \u010dasu vykonania po\u017eiadaviek. <\/p>\n
Pri \u00faspe\u0161nom vykonan\u00ed \u00fatoku identifikovan\u00e9 probl\u00e9my umo\u017e\u0148uj\u00fa ur\u010dova\u0165 \u0161ifrovacie k\u013e\u00fa\u010de na z\u00e1klade anal\u00fdzy \u010dasu v\u00fdpo\u010dtov v kryptografick\u00fdch kni\u017eniciach, ktor\u00e9 pou\u017e\u00edvaj\u00fa algoritmy, ktor\u00fdch matematick\u00e9 v\u00fdpo\u010dty sa v\u017edy vykon\u00e1vaj\u00fa za kon\u0161tantn\u00fd \u010das, nez\u00e1visle od povahy spracov\u00e1van\u00fdch \u00fadajov. Tak\u00e9to kni\u017enice sa pova\u017eovali za bezpe\u010dn\u00e9 pred \u00fatokmi prostredn\u00edctvom bo\u010dn\u00fdch kan\u00e1lov, ale uk\u00e1zalo sa, \u017ee \u010das v\u00fdpo\u010dtu ur\u010duje nielen algoritmus, ale aj \u0161pecifik\u00e1 pr\u00e1ce procesora. <\/p>\n
Ako praktick\u00fd pr\u00edklad, ktor\u00fd ukazuje realizovate\u013enos\u0165 aplik\u00e1cie navrhnutej met\u00f3dy, bola demon\u0161trovan\u00e1 \u00fatok na implement\u00e1ciu mechanizmu inkapsul\u00e1cie k\u013e\u00fa\u010dov SIKE (Supersingular Isogeny Key Encapsulation), ktor\u00fd sa dostal do fin\u00e1le s\u00fa\u0165a\u017ee postkvantov\u00fdch kryptosyst\u00e9mov organizovanej N\u00e1rodn\u00fdm in\u0161tit\u00fatom \u0161tandardov a technol\u00f3gi\u00ed USA (NIST) a je pozicijaovan\u00fd ako chr\u00e1nen\u00fd proti \u00fatokom z postrann\u00fdch kan\u00e1lov. Po\u010das experimentu pomocou novej varianty \u00fatoku na z\u00e1klade upraven\u00e9ho ciphertextu (postupn\u00fd v\u00fdber na z\u00e1klade manipul\u00e1ci\u00ed so za\u0161ifrovan\u00fdm textom a z\u00edskanie jeho de\u0161ifrovania) sa podarilo \u00faplne obnovi\u0165 pou\u017eit\u00fd k\u013e\u00fa\u010d na \u0161ifrovanie, pri\u010dom sa vykon\u00e1vali merania z dia\u013ekovej s\u00fastavy, napriek pou\u017eitiu implement\u00e1cie SIKE s kon\u0161tantn\u00fdm \u010dasom v\u00fdpo\u010dtov. Na ur\u010denie 364-bitov\u00e9ho k\u013e\u00fa\u010da pomocou implement\u00e1cie CIRCL bolo vynalo\u017een\u00fdch 36 hod\u00edn, zatia\u013e \u010do PQCrypto-SIDH - 89 hod\u00edn. <\/p>\n
Spolo\u010dnosti Intel a AMD priznali zranite\u013enos\u0165 svojich procesorov, ale nepl\u00e1nuj\u00fa zablokova\u0165 t\u00fato zranite\u013enos\u0165 prostredn\u00edctvom aktualiz\u00e1cie mikro k\u00f3du, preto\u017ee bez podstatn\u00e9ho vplyvu na v\u00fdkon nie je mo\u017en\u00e9 zranite\u013enos\u0165 hardv\u00e9rovo eliminova\u0165. Namiesto toho s\u00fa v\u00fdvoj\u00e1rom kryptografick\u00fdch kni\u017en\u00edc poskytnut\u00e9 odpor\u00fa\u010dania na softv\u00e9rov\u00e9 blokovanie \u00faniku inform\u00e1ci\u00ed pri vykon\u00e1van\u00ed d\u00f4vern\u00fdch v\u00fdpo\u010dtov. Spolo\u010dnosti Cloudflare a Microsoft u\u017e pridali tak\u00fato ochranu do svojich implement\u00e1ci\u00ed SIKE, \u010do viedlo k poklesu v\u00fdkonu CIRCL o 5 % a PQCrypto-SIDH o 11 %. Ako \u010fal\u0161ia mo\u017enos\u0165, ako zablokova\u0165 zranite\u013enos\u0165 v BIOS alebo ovl\u00e1da\u010di, mo\u017eno vypn\u00fa\u0165 re\u017eimy \u201eTurbo Boost\u201c, \u201eTurbo Core\u201c alebo \u201ePrecision Boost\u201c, av\u0161ak t\u00e1to zmena povedie k radik\u00e1lnemu poklesu v\u00fdkonu. <\/p>\n