연구자 그룹 암스테르담 대학교와 취리히의 스위스 고등 기술 학교에서 "NetCAT"네트워크 공격 기술 개발 (네트워크 캐시 공격) 데이터 분석 방법 사용 가능 타사 채널에서 사용자가 누르는 키를 원격으로 결정 SSH 세션에서 작업하는 동안. 문제는 RDMA (Remote Direct Memory Access) 및 DDIO (Direct I / O to Data) 기술을 사용하는 서버에서만 나타납니다.
인텔은 공격이 실제로 구현하기 어렵다고 생각합니다.a, 공격자의 로컬 네트워크 액세스가 필요하므로 조건과 조직 외에 호스트 통신 격리 된 네트워크에서 일반적으로 사용되는 RDMA 및 DDIO 기술 사용 예를 들어 클러스터가 작동하는 곳입니다.
공격에 사용 된 방법 Throwhammer 취약점과 유사RDMA 시스템에서 네트워크 패킷 조작을 통해 RAM의 개별 비트 내용을 변경할 수 있습니다.
연구원들은 다음과 같이 언급합니다.
새로운 문제는 DDIO 메커니즘을 사용하여 지연을 최소화 한 결과입니다.이 메커니즘은 네트워크 카드와 다른 주변 장치와 프로세서 캐시 간의 직접적인 상호 작용을 제공합니다 (네트워크 카드 패킷을 처리하는 동안 데이터가 캐시에서 캐시되고 캐시에서 검색됩니다. 메모리 액세스).
DDIO 덕분에 프로세서 캐시에는 악성 네트워크 활동 중에 생성 된 데이터도 포함됩니다.
NetCAT 공격은 네트워크 카드가 데이터를 캐시한다는 사실에 의존합니다. 최신 로컬 네트워크의 패킷 처리 속도는 캐시 채우기에 영향을 미치고 데이터 전송 지연 분석을 통해 캐시의 데이터 유무를 판단하기에 충분합니다.
대화 형 세션을 사용할 때 예를 들어 SSH를 통해 키를 누르면 네트워크 패킷이 즉시 전송됩니다.즉, 패킷 사이의 지연은 키 입력 사이의 지연과 상관 관계가 있습니다.
통계 분석 방법을 사용하고 키 입력 사이의 지연이 일반적으로 키보드의 키 위치에 따라 달라진다는 점을 고려하면 입력 정보를 다시 만들 수 있습니다. 예를 들어, 대부분의 사람들은 "s"뒤에 "g"보다 훨씬 빨리 "a"뒤에 "s"를 입력하는 경향이 있습니다.
프로세서에 의해 캐시 된 정보를 사용하면 SSH와 같은 연결을 처리 할 때 네트워크 카드에서 보낸 패킷의 정확한 시간을 판단 할 수도 있습니다.
특정 트래픽 흐름을 생성함으로써 공격자는 새 데이터가 캐시에 나타나는시기를 결정할 수 있습니다. 시스템의 특정 활동과 관련이 있습니다.
캐시의 내용을 분석하기 위해 Prime + Probe 방법이 사용됩니다.이 방법은 캐시를 일련의 참조 값으로 채우고 채울 때 액세스 시간을 측정하여 변경 사항을 결정하는 것으로 구성됩니다.
기술이 신청 결정하는 데 사용할 수 있습니다 키 입력뿐만 아니라 CPU에 의해 캐시 된 다른 유형의 민감한 데이터.
우리의 공격에서 우리는 DDIO 지원 애플리케이션 서버가 CPU 코어와 네트워크 카드 사이에 공유 리소스 (마지막 레벨 캐시)를 가지고 있다는 사실을 이용합니다. 캐시가 DDIO와 공유되는 방식을 이해하기 위해 DDIO의 중요한 속성을 리버스 엔지니어링합니다.
공격은 RDMA가 비활성화되었을 때 잠재적으로 수행 될 수 있지만 RDMA가 없으면 효율성이 떨어지고 실행이 상당히 복잡합니다.
또한 DDIO를 사용하여 서버가 손상된 후 보안 시스템을 우회하여 데이터를 전송하는 데 사용되는 비밀 통신 채널을 구성 할 수 있습니다.