Skupina bezpečnostných výskumníkov, z ktorých sa niekoľko podieľalo na detekcii prvých zraniteľností Meltdown a Spectre, vyvinul nový typ útoku na kanály tretích strán.
Tento útok sa vykonáva na základe analýzy obsahu medzipamäte stránky, ktorý obsahuje získané informácie v dôsledku prístupu operačného systému k diskom, jednotkám SSD a iným uzamykacím zariadeniam.
Na rozdiel od útokov Spectre nová zraniteľnosť nie je spôsobená hardvérovými problémami, ale týka sa iba softvérových implementácií medzipamäte stránok a prejavuje sa v Linuxe (CVE-2019 5489,), Windows a pravdepodobne mnoho ďalších operačných systémov.
Manipuláciou so systémovými volaniami mincore (Linux) a QueryWorkingSetEx (Windows) s cieľom zistiť prítomnosť pamäťovej stránky v medzipamäti systémovej stránky, neprivilegovaný miestny útočník dokáže vystopovať niektoré prístupy do pamäte iných procesov.
Útok vám umožňuje sledovať prístup na úrovni bloku 4 kilobajty s časovým rozlíšením 2 mikrosekundy v systéme Linux (6.7 meraní za sekundu) a 446 nanosekúnd v systéme Windows (223 meraní za sekundu).
Vyrovnávacia pamäť stránok zhromažďuje pomerne rozmanité údaje, vrátane extraktov spustiteľných súborov, zdieľaných knižníc, údajov načítaných na disk, zrkadlených súborov v pamäti a ďalšie informácie, ktoré sa zvyčajne ukladajú na disk a používajú ich operačný systém a aplikácie.
O čom je tento útok?
Útok je založené na skutočnosti, že všetky procesy používajú spoločnú medzipamäť stránky systému a prítomnosť alebo neprítomnosť informácií v tejto medzipamäti možno určiť zmenou oneskorenia načítania údajov disku alebo s odkazom na vyššie uvedené systémové volania.
Stránky vo vyrovnávacej pamäti je možné zrkadliť v oblasti virtuálnej pamäte používanej viacerými procesmi (vo fyzickej pamäti môže byť napríklad iba jedna kópia zdieľanej knižnice, ktorá sa zrkadlí vo virtuálnej pamäti rôznych aplikácií).
V procese posúvania informácií z medzipamäte stránky a ich vyplňovania pri načítaní typických údajov z disku, môžete analyzovať stav podobných stránok vo virtuálnej pamäti iných aplikácií.
Systémové volania mincore a QueryWorkingSetEx výrazne zjednodušujú útok tým, že vám umožňujú okamžite určiť, ktoré pamäťové stránky z daného rozsahu adries sa nachádzajú v medzipamäti stránok.
Pretože veľkosť monitorovaného bloku (4Kb) je príliš veľká na to, aby určila obsah na iteráciu, je možné útok použiť iba na skrytý prenos dát.
Zníženie sily kryptografických operácií sledovaním správania algoritmu, hodnotením typických vzorov prístupu do pamäte známych procesov alebo sledovaním postupu iného procesu.
Rozloženie údajov v pamäti, podľa ktorého je útočník známy (Napríklad, ak je základný obsah medzipamäte pôvodne známy v čase ukončenia dialógového okna overovania, môžete počas svojho zásahu používateľa určiť Arolu na základe symbolu vydierania).
Existuje riešenie proti tomu?
v prípade, ak už existuje riešenie z Linuxu Tento typ výskumu pomáha odhaliť problémy skôr, ako ich využijú ostatní so škodlivými úmyslami.
Pre jadro Linuxu riešenie je už k dispozícii ako oprava, ktorá je už k dispozícii popísané a zdokumentované tu.
V prípade Windows 10 bol problém opravený v testovacej zostave (Insider Preview Build) 18305.
Praktické aplikácie útoku na lokálny systém, ktoré demonštrovali vedci, zahŕňajú vytvorenie kanála na prenos dát z izolovaných izolovaných prostredí, rekreáciu prvkov rozhrania na obrazovke (napr. Autentifikačné dialógy), definíciu stlačenia klávesov a obnovu automaticky generovaných dočasné heslá).