Kako zaščititi računalnik pred napakami Intel Foreshadow

Foreshadow, znan tudi kot L1 Terminal Fault, je še en problem s špekulativnim izvajanjem v Intelovih procesorjih. Omogoča zlonamerni programski opremi, da vlomi v varna območja, ki jih niti Spectre in Meltdown ne morejo zlomiti.

Kaj je Foreshadow?

Konkretno, Foreshadow napade Intelovo programsko opremo (Guard) Extensions (SGX). To je vgrajeno v Intelove čipe, da lahko programi ustvarijo varne "enklave", do katerih ni mogoče dostopati, tudi z drugimi programi v računalniku. Tudi če bi bila v računalniku zlonamerna programska oprema, teoretično ni mogla dostopati do varne enklave. Ko so bili razglašeni Spectre in Meltdown, so varnostni raziskovalci ugotovili, da je spomin, zaščiten s SGX, večinoma imun na napade Spectre in Meltdown..

Obstajajo tudi dve povezani napadi, ki jih varnostni raziskovalci imenujejo »Foreshadow - Next Generation« ali Foreshadow-NG. Omogočajo dostop do informacij v načinu upravljanja sistema (SMM), jedru operacijskega sistema ali hipervizorju navideznega računalnika. V teoriji lahko kodo, ki se izvaja v enem navideznem stroju v sistemu, bere informacije, shranjene v drugem navideznem stroju v sistemu, čeprav naj bi bile te navidezne naprave popolnoma izolirane.

Foreshadow in Foreshadow-NG, kot Spectre in Meltdown, uporabljata napake pri špekulativnem izvrševanju. Sodobni procesorji ugibajo kodo, za katero menijo, da bi lahko tekla naslednjič, in jo predizborno izvajajo, da bi prihranili čas. Če program poskuša zagnati kodo, super - to je že storjeno, in procesor pozna rezultate. Če ne, lahko procesor vrne rezultate.

Vendar pa ta špekulativna izvršitev pušča nekaj informacij. Na primer, na podlagi tega, kako dolgo traja proces špekulativne izvedbe za izvajanje določenih vrst zahtev, lahko programi sklepajo, kateri podatki so na območju pomnilnika, tudi če ne morejo dostopati do tega pomnilnika. Ker lahko zlonamerni programi te tehnike uporabijo za branje zaščitenega pomnilnika, lahko celo dostopajo do podatkov, shranjenih v predpomnilniku L1. To je pomnilnik nizke ravni na CPU, kjer so shranjeni varni kriptografski ključi. Zato so ti napadi znani tudi kot "L1 Terminal Fault" ali L1TF.

Če želite izkoristiti prednosti programa Foreshadow, mora napadalec samo zagnati kodo v računalniku. Koda ne zahteva posebnih dovoljenj - to je lahko standardni uporabniški program, ki nima dostopa do nizke ravni sistema ali celo programsko opremo, ki se izvaja znotraj navideznega računalnika..

Od objave Spectra in Meltdown smo videli stalen tok napadov, ki zlorabljajo funkcionalnost špekulativne izvedbe. Na primer, napad Speculative Store Bypass (SSB) je prizadel procesorje iz Intelovih in AMD-jevih ter nekaj ARM procesorjev. Napovedana je bila maja 2018.

Je Foreshadow se uporablja v divjini?

Foreshadow so odkrili varnostni raziskovalci. Ti raziskovalci imajo dokaz-of-concept-z drugimi besedami, funkcionalni napad-vendar jih ne sprosti v tem trenutku. To vsem daje čas, da ustvarijo, izdajo in uporabijo popravke za zaščito pred napadom.

Kako lahko zaščitite računalnik

Upoštevajte, da so samo računalniki z Intelovimi čipi ranljivi za Foreshadow. AMD čipi niso ranljivi za to napako.

Večina računalnikov z operacijskim sistemom Windows potrebuje le posodobitve operacijskega sistema, da se zaščiti pred Foreshadowom. Za namestitev najnovejših popravkov zaženite Windows Update. Microsoft pravi, da ni opazil nobene izgube zmogljivosti zaradi namestitve teh popravkov.

Nekateri osebni računalniki lahko potrebujejo tudi novo mikrokode Intel, da se zaščitijo. Intel pravi, da so to iste posodobitve mikrokodov, ki so bile izdane v začetku tega leta. Lahko dobite novo vdelano programsko opremo, če je na voljo za vaš računalnik, tako da namestite najnovejše posodobitve UEFI ali BIOS iz računalnika ali proizvajalca matične plošče. Posodobitve mikrokodov lahko namestite tudi neposredno od Microsofta.

Kaj morajo vedeti sistemski administratorji

Za osebne računalnike, ki uporabljajo programsko opremo za hipervizor za virtualne stroje (na primer Hyper-V), bodo potrebne posodobitve programske opreme tega hipervizorja. Na primer, poleg posodobitve za Microsoft za Hyper-V je VMWare izdal posodobitev za programsko opremo za navidezne naprave.

Sistemi, ki uporabljajo Hyper-V ali varnost na osnovi virtualizacije, bodo morda potrebovali bolj drastične spremembe. To vključuje onemogočanje hiper-navojev, kar bo upočasnilo računalnik. Večini ljudi tega ni treba storiti, toda skrbniki Windows Serverja, ki poganjajo Hyper-V na procesorjih Intel, bodo morali resno razmisliti o onemogočanju hiper-navojev v BIOS-u sistema, da bodo njihovi virtualni stroji varni.

Ponudniki v oblaku, kot so Microsoft Azure in spletne storitve Amazon, prav tako popravljajo svoje sisteme za zaščito navideznih strojev v skupnih sistemih pred napadom.

Za druge operacijske sisteme so morda potrebni popravki. Ubuntu je na primer izdal posodobitve jedra Linuxa za zaščito pred temi napadi. Apple še ni komentiral tega napada.

Natančneje, številke CVE, ki identificirajo te pomanjkljivosti, so CVE-2018-3615 za napad na Intel SGX, CVE-2018-3620 za napad na operacijski sistem in sistemski način upravljanja in CVE-2018-3646 za napad na upravljalnik virtualnih naprav.

V blogu je Intel dejal, da dela na boljših rešitvah za izboljšanje učinkovitosti, medtem ko blokira izkoriščanja, ki temeljijo na L1TF. Ta rešitev bo uporabila zaščito le takrat, ko bo to potrebno, kar bo izboljšalo delovanje. Intel pravi, da je že zagotovljeno mikrokodo CPU s predhodno izdajo s to funkcijo nekaterim partnerjem in ocenjuje, da jo bo sprostilo.

Nazadnje, Intel navaja, da "L1TF prav tako obravnava spremembe, ki jih izvajamo na ravni strojne opreme." Z drugimi besedami, prihodnje Intelove CPU bodo vsebovale izboljšave strojne opreme za boljšo zaščito pred Spectrom, Meltdown, Foreshadow in drugimi špekulativnimi napadi na podlagi izvajanja manj izgube zmogljivosti.

Zasluge za slike: Robson90 / Shutterstock.com, Foreshadow.