Skupina raziskovalcev z Vrije Universiteit Amsterdam in ETH Zurich je razvila tehniko omrežnega napada (Network Cache ATtack), ki omogoča z uporabo metod analize podatkov prek kanalov tretjih oseb na daljavo določiti tipke, ki jih uporabnik pritisne med delom v seji SSH. Težava se pojavi samo na strežnikih, ki uporabljajo tehnologije (Oddaljeni neposredni dostop do pomnilnika) in (Data-Direct I/O).
Intel , da je napad težko izvedljiv v praksi, saj zahteva napadalčev dostop do lokalnega omrežja, sterilne pogoje in organizacijo gostiteljske komunikacije z uporabo tehnologij RDMA in DDIO, ki se običajno uporabljajo v izoliranih omrežjih, na primer v katerih računalniški delujejo grozdi. Težava je ocenjena kot manjša (CVSS 2.6, ) in podano je priporočilo, da se DDIO in RDMA ne omogočita v lokalnih omrežjih, kjer ni zagotovljen varnostni obseg in je dovoljena povezava nezaupanja vrednih odjemalcev. DDIO se v strežniških procesorjih Intel uporablja od leta 2012 (Intel Xeon E5, E7 in SP). Težava ne vpliva na sisteme, ki temeljijo na procesorjih AMD in drugih proizvajalcev, saj ne podpirajo shranjevanja podatkov, prenesenih po omrežju, v predpomnilnik procesorja.
Metoda, uporabljena za napad, spominja na ranljivost "“, ki omogoča spreminjanje vsebine posameznih bitov v RAM-u z manipulacijo omrežnih paketov v sistemih z RDMA. Nova težava je posledica dela za zmanjšanje zamud pri uporabi mehanizma DDIO, ki zagotavlja neposredno interakcijo omrežne kartice in drugih perifernih naprav s predpomnilnikom procesorja (v procesu obdelave paketov omrežne kartice se podatki shranjujejo v predpomnilnik in pridobljeno iz predpomnilnika, brez dostopa do pomnilnika).
Zahvaljujoč DDIO predpomnilnik procesorja vključuje tudi podatke, ustvarjene med zlonamerno omrežno dejavnostjo. Napad NetCAT temelji na dejstvu, da omrežne kartice aktivno predpomnijo podatke, hitrost obdelave paketov v sodobnih lokalnih omrežjih pa zadostuje, da vpliva na polnjenje predpomnilnika in ugotavlja prisotnost ali odsotnost podatkov v predpomnilniku z analizo zakasnitev med prenosom podatkov. prenos.
Pri uporabi interaktivnih sej, na primer prek SSH, se omrežni paket pošlje takoj po pritisku tipke, tj. zakasnitve med paketi so povezane z zakasnitvami med pritiski tipk. Z metodami statistične analize in ob upoštevanju, da so zamiki med pritiski tipk običajno odvisni od položaja tipke na tipkovnici, je mogoče z določeno verjetnostjo poustvariti vnesene podatke. Na primer, večina ljudi veliko hitreje vnese "s" za "a" kot "g" za "s".
Podatki, shranjeni v predpomnilniku procesorja, omogočajo tudi oceno točnega časa paketov, ki jih pošlje omrežna kartica pri obdelavi povezav, kot je SSH. Z generiranjem določenega toka prometa lahko napadalec določi trenutek, ko se v predpomnilniku pojavijo novi podatki, povezani z določeno aktivnostjo v sistemu. Za analizo vsebine predpomnilnika se uporablja metoda , ki vključuje izpolnjevanje predpomnilnika z referenčnim naborom vrednosti in merjenje časa dostopa do njih ob ponovni polnitvi za določitev sprememb.
Možno je, da se predlagana tehnika lahko uporabi za določanje ne le pritiskov na tipke, ampak tudi drugih vrst zaupnih podatkov, shranjenih v predpomnilniku procesorja. Napad se lahko izvede tudi, če je RDMA onemogočen, vendar je brez RDMA njegova učinkovitost zmanjšana in izvedba postane bistveno težja. DDIO je mogoče uporabiti tudi za organizacijo prikritega komunikacijskega kanala, ki se uporablja za prenos podatkov, potem ko je bil strežnik ogrožen, mimo varnostnih sistemov.
Vir: opennet.ru