Hertzbleed è una nuova famiglia di gli attacchi del canale laterale associati a canali lato frequenza che possono consentire la divulgazione di informazioni. Il problema è stato scoperto e dettagliato da un gruppo di ricercatori dell'Università del Texas, Università di Washington, e Università dell'Illinois Urbana-Champaign.
Più specificamente, gli aggressori potrebbero essere in grado di rubare le chiavi crittografiche osservando le variazioni nella frequenza della CPU abilitate dal voltaggio dinamico e dal ridimensionamento della frequenza, noto in breve come DVFS. La vulnerabilità interessa i moderni processori Intel e AMD x86.
Hertzbleed: CVE-2022-24436 e CVE-2022-23823
CVE-2022-24436 nei processori Intel è stato descritto come un comportamento osservabile nella limitazione della gestione dell'alimentazione per alcuni Intel(R) Processori che possono consentire a un utente autenticato di consentire potenzialmente la divulgazione di informazioni tramite l'accesso alla rete.
CVE-2022-23823 è una potenziale vulnerabilità in alcuni processori AMD che può essere attivata utilizzando il ridimensionamento della frequenza. Ciò potrebbe consentire a un utente malintenzionato autenticato di eseguire un attacco a tempo per consentire potenzialmente la divulgazione di informazioni.
Secondo i ricercatori, il numero di processori interessati è piuttosto elevato. Secondo l'avviso di sicurezza di Intel, Hertzbleed interessa tutti i processori Intel. “Abbiamo confermato sperimentalmente che diversi processori Intel sono interessati, compresi i modelli desktop e laptop dall'ottava all'undicesima generazione di microarchitettura Core,”, ha dichiarato la squadra.
Molti dei desktop di AMD, i processori mobili e server sono interessati. I ricercatori hanno confermato tramite esperimenti che i processori AMD Ryzen sono interessati, compresi i modelli desktop e laptop dello Zen 2 e Zen 3 microarchitetture.
"Primo, Hertzbleed lo mostra sulle moderne CPU x86, possono essere trasformati in attacchi power side-channel (anche remoto!) attacchi di temporizzazione: eliminando la necessità di qualsiasi interfaccia di misurazione della potenza. La causa è quella, In alcune circostanze, le regolazioni periodiche della frequenza della CPU dipendono dall'attuale consumo energetico della CPU, e questi aggiustamenti si traducono direttamente in differenze nei tempi di esecuzione (come 1 hertz = 1 ciclo al secondo).
Secondo, Hertzbleed lo dimostra, anche se implementato correttamente come tempo costante, il codice crittografico può ancora fuoriuscire tramite l'analisi della temporizzazione remota. Il risultato è che le attuali linee guida del settore su come scrivere codice a tempo costante (come quello di Intel) sono insufficienti per garantire un'esecuzione a tempo costante sui moderni processori,”I ricercatori hanno detto.
Si noti che il documento Hertzbleed sarà presentato durante il 31° simposio sulla sicurezza USENIX (Boston, 10–12 agosto 2022). Per fortuna, se sei interessato a maggiori dettagli, Puoi scaricare la prestampa.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: