Sekelompok peneliti dari Universitas Amsterdam dan Sekolah Teknik Tinggi Swiss di Zurich mengembangkan teknik serangan jaringan "NetCAT" (Network Cache ATtack) itu memungkinkan untuk menggunakan metode analisis data dari saluran pihak ketiga untuk menentukan tombol yang ditekan pengguna dari jarak jauh saat bekerja dalam sesi SSH. Masalahnya hanya memanifestasikan dirinya pada server yang menggunakan teknologi RDMA (Remote Direct Memory Access) dan DDIO (Direct I / O to Data).
Intel yakin serangan itu sulit diterapkan dalam praktiknya.a, karena memerlukan akses penyerang ke jaringan lokal, selain kondisi dan organisasinya komunikasi tuan rumah menggunakan teknologi RDMA dan DDIO, yang umumnya digunakan di jaringan yang terisolasi, misalnya, di mana cluster beroperasi.
Metode yang digunakan untuk serangan itu menyerupai kerentanan Throwhammer, yang memungkinkan konten bit individu dalam RAM diubah melalui manipulasi paket jaringan pada sistem RDMA.
Para peneliti berkomentar bahwa:
Masalah baru adalah hasil dari meminimalkan penundaan dengan menggunakan mekanisme DDIO, yang menyediakan interaksi langsung antara kartu jaringan dan perangkat periferal lain dengan cache prosesor (selama pemrosesan paket kartu jaringan, data di-cache dan diambil dari cache, tanpa mengakses memori).
Berkat DDIO, cache prosesor juga menyertakan data yang dihasilkan selama aktivitas jaringan berbahaya.
Serangan NetCAT bergantung pada fakta bahwa data cache kartu jaringan aktif, dan kecepatan pemrosesan paket di jaringan lokal modern cukup untuk memengaruhi pengisian cache dan menentukan ada atau tidaknya data di cache melalui analisis penundaan transmisi data.
Saat menggunakan sesi interaktif, misalnya melalui SSH, paket jaringan dikirim segera setelah menekan tombol, yaitu penundaan antar paket berkorelasi dengan penundaan antara penekanan tombol.
Dengan menggunakan metode analisis statistik dan dengan mempertimbangkan bahwa penundaan antara penekanan tombol umumnya bergantung pada posisi tombol pada keyboard, dimungkinkan dengan beberapa kemungkinan untuk membuat ulang informasi masukan. Misalnya, kebanyakan orang cenderung mengetik "s" setelah "a" jauh lebih cepat daripada "g" setelah "s."
Informasi yang di-cache oleh prosesor juga memungkinkan Anda untuk menilai waktu yang tepat dari paket yang dikirim oleh kartu jaringan saat memproses koneksi seperti SSH.
Dengan menghasilkan arus lalu lintas tertentu, penyerang dapat menentukan kapan data baru muncul di cache terkait dengan aktivitas tertentu dalam sistem.
Untuk menganalisis konten cache, metode Prime + Probe digunakan, yang terdiri dari mengisi cache dengan satu set nilai referensi dan mengukur waktu akses ke sana saat mengisi untuk menentukan perubahan.
Mungkin saja tekniknya proposal dapat digunakan untuk menentukan tidak hanya penekanan tombol, tetapi juga jenis data sensitif lainnya yang disimpan dalam cache oleh CPU.
Dalam serangan kami, kami memanfaatkan fakta bahwa server aplikasi berkemampuan DDIO memiliki sumber daya bersama (cache level terakhir) antara inti CPU dan kartu jaringan. Kami merekayasa balik properti penting DDIO untuk memahami bagaimana cache dibagikan dengan DDIO.
Serangan berpotensi dilakukan ketika RDMA dinonaktifkan, tetapi tanpa RDMA, efektivitasnya berkurang dan eksekusi menjadi rumit secara signifikan.
DDIO juga dapat digunakan untuk mengatur saluran komunikasi rahasia yang digunakan untuk mentransfer data setelah server disusupi, melewati sistem keamanan.
sumber: https://www.vusec.net