Onderzoekers beschrijven Spectre-aanval die informatie via netwerk buitmaakt

Wetenschappers van de Oostenrijkse Universiteit van Graz, waarvan een deel betrokken was bij de ontdekking van Meltdown en Spectre, hebben een nieuwe Spectre-aanval beschreven waarmee informatie via het netwerk te stelen is. De aanval noemen ze NetSpectre.

De onderzoekers hebben een paper gepubliceerd waarin ze hun bevindingen beschrijven. Daarin leggen ze uit dat tot nu toe voor een Spectre-aanval was vereist dat de aanvaller code kan uitvoeren op het systeem van het doelwit. Bijvoorbeeld het stelen van een encryptiesleutel uit het geheugen via de browser. Wat de nieuwe ontdekking van de onderzoekers anders maakt dan eerdere aanvallen, is dat NetSpectre ook via het netwerk uit te voeren is, bijvoorbeeld via een api of een bereikbare netwerkinterface. Ze testten dit in een lokaal netwerk en in de Google-cloud tussen vm's.

Een aanvaller zou in deze gevallen een netwerkverbinding tot stand moeten brengen met een programma dat een zogenaamd Spectre-gadget bevat, oftewel een bepaald stuk code. Een aanvaller moet ook in staat zijn een groot aantal netwerkpakketten naar het doelwit te kunnen sturen, waarbij het volgens de onderzoekers niet uitmaakt of hij controle heeft over de inhoud van die pakketten en hoeveel tijd het sturen van de pakketten in beslag neemt. Vervolgens meet hij de responstijden.

Een belangrijke beperking van NetSpectre is dat deze aanval zeer langzaam verloopt. Zo is het mogelijk om 15 bits per uur te stelen. Deze snelheid ging verder omlaag tussen twee vm's in de Google-cloud, daar was sprake van 3 bits per uur. Er is nog wel een snellere variant, die gebruikmaakt van AVX2-instructies. Die haalt volgens de onderzoekers 60 bits per uur, waardoor het stelen van bijvoorbeeld een encryptiesleutel enkele dagen in beslag kan nemen.

Een van de onderzoekers zegt tegen The Register: "Gelukkig is de snelheid van deze aanval vrij beperkt, waardoor deze vooral interessant is voor gerichte aanvallen op doelwitten met een hoge waarde." Volgens de onderzoekers zijn bestaande Spectre-tegenmaatregelen bovendien voldoende om NetSpectre tegen te houden. "Als het systeem volledig gepatcht is voor Spectre, inclusief de nieuwe gadgets die we in het paper introduceren, moet de aanval af te slaan zijn. Aan de andere kant beginnen we pas net te begrijpen hoe Spectre-gadgets eruit kunnen zien, dus dit is niet een eenvoudig op te lossen probleem."

Intel laat aan de site weten dat het eveneens van mening is dat bestaande maatregelen voldoen, zoals het inspecteren van code en het aanpassen van software. Het heeft naar aanleiding van het paper nieuwe informatie toegevoegd aan zijn whitepaper over Spectre-achtige aanvallen. Red Hat heeft een blogpost met aanvullende informatie over NetSpectre gepubliceerd.

Reacties (12)

[Tomino]

De RedHat werknemers schrijven dat:

So far, as with the other Spectre and Meltdown variants and sub-variants, no malware is exploiting these flaws in the wild, that we know of.

Dat de onderzoekers aantonen dat er nog meer aanvalsvectoren zijn voor een bekende kwetsbaarheid (waarvoor ook al een patch beschikbaar voorhanden is) onderschrijft in ieder geval de urgentie om te patchen.

Omdat er een fix beschikbaar is en Intel op basis van dit paper slechts een paragraaf bijwerkt in een bestaand whitepaper maakt dit mij wel duidelijk dat de onderzoekers de mogelijkheden om "iets" te vinden aan het uitnutten zijn.

Desondanks puik werk. Waarschijnlijk zonder grote hoeveelheden gecomprimitteerde machines. Echter, welke "high value targets" zijn daadwerkelijk beschermt? Intel zegt dat

you should be safe from NetSpectre if you've updated your code and applications to mitigate previous Spectre exploits.

terwijl we allen weten hoe goed machines upgedate zijn (denk aan WannaCry)...

[Reactie gewijzigd door Tomino op 31 juli 2024 02:29]

[Verwijderd]

Een van de grote punten uit het onderzoek (zie pdf) is dat vendors die voorheen claimde niet vatbaar te zijn voor Spectre voor welke reden dan ook, vermoedelijk dus wel allemaal vatbaar zijn. Wat ik zo 1, 2, 3 kan opmaken uit de PDF is dat alles met een (voor Spectre) vatbare CPU en IP adres kwetsbaar zijn, mits niet gepatched (daar valt bv. ook de management-planes van routers, switches, firewalls, etc onder). Ik vermoed dan ook op basis van deze PDF dat er heel veel patches uit gaan komen voor alles wat maar connected is, of ik moet de aanval compleet verkeerd begrepen hebben.

[Warf!y]

Dat heeft mogelijk te maken met het feit dat er niet altijd een volledige exploit wordt vrijgegeven door de paper auteurs dan wel derde partijen. De druk op vendors is dan minder groot. Vanuit vendor perspectief zou je zelfs kunnen stellen dat de kwetsbaarheid niet onmiskenbaar is aangetoond. Zie onder meer AMD, die claimde niet vatbaar te zijn voor Meltdown, terwijl de Meltdown-onderzoekers wel een PoC hadden vrijgegeven waaruit blijkt dat out-of-order execution ook op AMD's buiten security domains optreedt. Zie ook dit gastcollege onlangs gegeven op de TU Eindhoven.

Terecht of niet, het grappige is wel dat de vele varianten op Spectre, zoals SMM Bounds Check Bypass en Spectre-NG, in een aantal gevallen wel van toepassing zijn op diezelfde vendors.

[Squee]

(daar valt bv. ook de management-planes van routers, switches, firewalls, etc onder)

Dat hangt natuurlijk wel erg af van wat voor core deze management interface processors gebruiken. Vaak zijn dit simpele in-order ARM cores volgens mij, en die zullen niet vatbaar zijn voor Spectre aanvallen. Je moet juist een grote agressieve out-of-order core hebben om Spectre echt goed te kunnen uitbuiten, zoals een desktop/server class x86 processor (of een Cortex A75 in ARM's geval). Dus mijn verwachting is dat de impact op de management-planes wel mee zal vallen.

[Verwijderd]

De meeste netwerk apparatuur die ik ken van bv. Cisco draaien allemaal met Intel CPU's waarbij management taken uitgevoerd worden door de centrale CPU en niet bv. de dedicated acics voor de uiteindelijke functies van he device.

[Squee]

Ok, dan zou dat wel een probleem kunnen zijn. Ik dacht dat je het over BMC's had, zoals voor ILOM en dergelijke. Die zullen namelijk niet zo vatbaar zijn.

[Leejjon]

Betekent dit dat de Google Cloud vm's op processors draaien die kwetsbaar zijn?

[BlaDeKke]

Aangezien zowat elke cpu vatbaar is voor spectre denk ik dat je kan aannemen dat dit zo is.

[wica]

"Gelukkig is de snelheid van deze aanval vrij beperkt, waardoor deze vooral interessant is voor gerichte aanvallen op doelwitten met een hoge waarde."

Ik weet wel een paar targets met hoge waarde en die afgelopen tijd aangevallen zijn.

[Verwijderd]

Nou, vertel...

[Squee]

De NetSpectre paper baseert zich vooral op Spectre v1 achtige gadgets, die aanwezig moeten zijn in het codepad voor het afhandelen van een packet/request wat ontvangen wordt over een netwerk. Veel OS code wordt nu al geonctroleerd en gehardened tegen Spectre v1 patronen, dus wat dat betreft zou de impact niet super groot moeten zijn.

Wat mij heel erg verbaasde aan deze paper is dat ze hebben laten zien dat je de minieme verschillen in timing statistisch kan onderscheiden, ondanks de enorme ruis qua latency over een netwerk, als je het maar vaak genoeg herhaalt. 3-60 bits per uur is natuurlijk al heel erg weinig, maar ik had niet verwacht dat dit werkelijk tot op een dergelijk detail meetbaar zou zijn.

Wat ook erg interessant was, was dat ze nog een andere sidechannel laten zien in de paper gebaseerd op de executie van AVX-2 instructies. Moderne Intel cores schakelen een deel van de AVX-2 unit uit na 1ms van inactiviteit, en schakelen hem weer aan als er een AVX-2 instructie langs komt die de volledige 256 bits gebruikt. Omdat het opstarten van dit deel van unit even wat tijd kost, geeft dit een meetbare vertraging, die zelfs nog groter schijnt te zijn dan het verschil in cache latency via de prime & probe methode.

[Reactie gewijzigd door Squee op 31 juli 2024 02:29]

[Horrorist618]

Inspectre Gadget