Spectre (vulnerabilidad)

Espectro
Logotipo de espectro
Tipo	hardware
Número (s) CVE	CVE-2017-5715 , CVE-2017-5753 , CVE-2017-6289 , CVE-2018-3615 , CVE-2018-3620 , CVE-2018-3639 , CVE-2018-3640 , CVE-2018-3646 , CVE- 2018-3665 , CVE-2018-3693 , CVE-2018-9056
Fecha de descubrimiento	1 de junio de 2017
Fecha de lanzamiento	3 de enero de 2018
Arquitectura (s)	Brazo , MIPS , POWER , PowerPC , x86
Sistemas operativos	independientemente del sistema operativo
Fabricante	AMD , Apple , ARM , Citrix , Huawei , IBM , Intel , Nvidia , NXP , Oracle , Qualcomm
Productos)	Procesadores

Spectre describe escenarios de ataque en los que los procesos a través de agujeros de seguridad en microprocesadores con ejecución fuera de orden leen información de la memoria virtual a la que no deberían tener acceso.

Los atacantes eluden los mecanismos de seguridad como el sandboxing o la separación entre el código del programa y el código proporcionado por el usuario (por ejemplo, intérprete o script ). Durante la ejecución desordenada del procesador, el contenido de una celda de memoria se lee temporalmente de su propio espacio de direcciones, al que normalmente no podría acceder el proceso de llamada. La "lectura preliminar" deja un rastro perceptible en la caché , incluso después de descartar el resultado de la ejecución especulativa .

historia

Spectre fue descubierto de forma independiente por investigadores del Proyecto Zero de Google, así como por Paul C. Kocher en colaboración con Daniel Genkin, Mike Hamburg, Moritz Lipp y Yuval Yarom y publicado el 3 de enero de 2018 en relación con la vulnerabilidad de seguridad relacionada Meltdown después del afectado. Los fabricantes de software y hardware ya habían sido informados el 1 de junio de 2017. La vulnerabilidad Spectre se descubrió, junto con Meltdown, en la arquitectura x86 ampliamente utilizada de Intel y AMD , aunque otras arquitecturas también se consideran vulnerables.

Procesadores afectados

En teoría, todos los procesadores que ofrecen predicción de rama de ejecución especulativa , especialmente aquellos con ramificación indirecta , son susceptibles .

Los procesadores X86 antes de 1995 y aquellos sin ejecución especulativa o sin ejecución fuera de orden , como los procesadores Atom antes de 2013, así como la arquitectura Itanium de Intel y HP no se ven afectados por la vulnerabilidad Spectre .

El 4 de enero de 2018, AMD confirmó la vulnerabilidad de procesadores anteriores a Spectre V1, pero habló de un "riesgo cercano a cero" para Spectre V2, ya que aún no se ha probado ningún ataque exitoso a través de la variante 2 de Spectre.

Apple, IBM y Motorola comenzaron a desarrollar procesadores PowerPC basados ​​en la arquitectura IBM POWER en 1991 . Dado que esto proporciona una ejecución especulativa, la mayoría de todos los procesadores PowerPC y POWER son vulnerables. Las pruebas han demostrado que los procesadores más antiguos de las series G3 (PPC750) y G4 (solo PPC7400 y 7410) no son susceptibles en la práctica, pero los modelos posteriores de PPC7450 - G4 744x y 745x y PowerPC G5 (PPC970) - y POWER6 sí lo son. IBM ha confirmado la vulnerabilidad de POWER7 + , POWER8 y POWER9 .

Los procesadores MIPS se ven parcialmente afectados, como los modelos P5600 y P6600 de 2013.

Los procesadores Oracle con la arquitectura SPARC desarrollada por Sun también se ven afectados por Spectre. Fujitsu lanzó actualizaciones para servidores con los procesadores SPARC64 XII y SPARC64 X +. Los modelos de procesadores más antiguos, como SPARC64 VI, también incluyen predicción de ramas .

Los procesadores de arquitectura de brazo pueden ser vulnerables, como B. los SoCs Snapdragon 845 de Qualcomm o algunos modelos de la serie Tegra de Nvidia . Arm procesadores producidos por Apple , p . Ej. B. la manzana A11 , son vulnerables. Se enumeran todos los dispositivos en los que se ejecuta iOS como sistema operativo, como el iPad o el Apple TV , en los que están instalados dichos procesadores de brazo.
Los procesadores Arm con ejecución en orden no se ven afectados, que se trata de los diseños Arm Cortex-A7 y -A53 como tales. B. se puede utilizar en Raspberry Pi .

Apple también confirmó la vulnerabilidad de todos los modelos actuales de Mac en 2018 (antes Macintosh ) que usan procesadores x86 de Intel y, por lo tanto, también se ven afectados por Meltdown. En Mac más antiguas, Apple usó procesadores PowerPC desde 1994 hasta 2006, que, como se describió anteriormente, también son parcialmente vulnerables.

Las GPU no se ven afectadas por Spectre. Debido a Spectre z. Por ejemplo , los controladores de gráficos actualizados publicados por Nvidia solo deberían evitar ataques de ejecución de comandos especulativos en procesadores x86 que forman parte del software del controlador.

Modo de acción y efectos

Los ataques que utilizan la vulnerabilidad Spectre requieren, al igual que con la vulnerabilidad de fusión, que el procesador admita la ejecución fuera de orden . Aquí el procesador ejecuta algunas instrucciones de forma especulativa para lograr una alta eficiencia. Según la idea de ejecución desordenada , el estado del procesador es como si la instrucción nunca se hubiera ejecutado, incluso en el caso de especulaciones incorrectas. Los ataques Spectre aprovechan que el estado del sistema cambia en determinados puntos, aunque se descarta el resultado de la ejecución especulativa. Estos cambios, p. Ej. B. la carga de una página de memoria en la caché , sirve como un canal oculto para extraer información del espacio de direcciones del proceso atacado. El proceso de recepción decodifica la información transmitida de los cambios en el sistema y así puede leerla.

Las variantes del ataque Spectre original no solo leen la memoria sin autorización, sino que también reciben otra información protegida. Con la variante de restauración de estado Lazy FP del registro Spectre-NG, se pueden leer registros de punto flotante. Esto es explosivo porque algunos programas de cifrado almacenan claves privadas en estos registros.

En el caso de un ataque, ciertos comandos introducidos por el atacante se pueden ejecutar especulativamente, p. Ej. B. mediante programación orientada al retorno utilizando un desbordamiento de búfer o con un programa proporcionado por el atacante y ejecutado por el usuario (por ejemplo, en un lenguaje de script interpretado como JavaScript ). El espacio de Spectre se puede utilizar para extraer información del espacio de direcciones del intérprete que ejecuta, como el navegador web . Un atacante puede leer contraseñas de la memoria de contraseñas del navegador web utilizando un JavaScript malicioso cargado desde un servidor web.

Los autores demostraron un escenario en el que un programa genera el contenido de una cadena de caracteres o cualquier ubicación de memoria en su propio espacio de direcciones sin acceder a la cadena de caracteres directamente a través del puntero . El detonante de la ejecución especulativa fue una predicción de salto que se hizo deliberadamente de manera incorrecta. Los saltos indirectos, en los que las fallas de caché conducen a la ejecución especulativa de código que de otro modo no se ejecutaría, también habilitan el ataque.

El ataque demostrado (Spectre V1) que utiliza una predicción de rama defectuosa funciona de la siguiente manera:

Código de muestra comentado:

 1#define PAGESIZE 4096
 2unsigned int array1_size = 16;
 3uint8_t array1[16] = { 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16 };
 4uint8_t array2[256 * PAGESIZE];
 5uint8_t temp;
 6void victim_function(size_t x) {
 7   if (x < array1_size) {                    // Dieser Vergleich wird für die fehlerhafte Sprungvorhersage ausgenutzt
 8       temp &= array2[array1[x] * PAGESIZE]; // Der Zugriff auf array2[] lädt eine Seite in den Cache, deren Adresse
 9                                             // vom Inhalt von array1[x] abhängt. Das ist der verdeckte Kanal.
10   }
11}

1. Primero, el atacante selecciona una ubicación de almacenamiento py calcula su compensación x_mcon respecto a la matriz bajo su control array1.
2. Luego entrena la predicción de rama del procesador para la rama en línea de 7modo que el procesador asume que la condición se aplica preferiblemente llamando victim_functionmuy a menudo con valores del intervalo 0...15.
3. A continuación, el atacante influye en la caché del sistema de tal manera que el valor de array1_sizeno está presente en la caché, mientras que el contenido de la ubicación de la memoria que se va a leer está presente en la caché.
4. Ahora ejecuta el código x=x_m. Por lo tanto, la condición en línea 7no se aplicará. Dado que array1_sizeno está en la caché, el procesador ejecutará especulativamente el siguiente código mientras se array1_sizecarga desde la memoria, porque la predicción de rama aprendida previamente asume una condición verdadera.
5. array1[x_m]ahora muestra p. Su contenido se carga especulativamente, se convierte en una dirección de página y la página correspondiente se array2marca para cargarla en la caché.
6. array1_sizese ha cargado desde la memoria y el procesador determina que las instrucciones ejecutadas especulativamente deben descartarse. Una sola página permanece en la caché array2dependiendo del contenido de la pubicación de la memoria .
7. Luego, el atacante analiza qué páginas array2se cargaron en la caché y utiliza esta información para determinar el contenido de la ubicación de la memoria p.

variantes

Mitigación

Dado que la brecha Bounds Check Bypass podría (también) explotarse a través de navegadores web utilizando código de programa JavaScript malicioso , los fabricantes reaccionaron con actualizaciones del programa. Mozilla Firefox lanzó una actualización en la versión 57.0.4 el 4 de enero de 2018, que puede incluir: a. reduce la precisión de la resolución de tiempo, ya que el mecanismo revelado por Spectre requiere una medición de tiempo precisa. La precisión de la función afectada se redujo de 5 a 20 µs. Medidas similares para los sistemas operativos Windows se publicaron el 3 de enero de 2018 para los navegadores web Internet Explorer 11 y Edge de Microsoft . Apple redujo la precisión en WebKit a 1 ms con una actualización del 8 de enero de 2018 de iOS 11.2 y macOS High Sierra para Safari 11.0.2. Una actualización para Google Chrome del 24 de enero de 2018 debería dificultar el ataque. Hasta entonces, los ataques a través de las instalaciones de Chrome se podían dificultar activando el “aislamiento de sitios web”, que, sin embargo, requiere más memoria y causa problemas al imprimir y al desarrollar iFrames entre sitios web . Esta configuración también se puede realizar en la versión actualizada del navegador web Opera basado en Chromium . Mediante extensiones de navegador ( por ejemplo, como NoScript , bloqueadores de anuncios ) para contenido activo como JavaScript, Flash y subprogramas de Java bloqueados o restringidos para evitar la ejecución de código malicioso en el navegador web.performance.now()

Contra la inyección de destino de sucursales , los procesadores Intel sin una arquitectura de procesador revisada requieren una actualización de software y una actualización de microcódigo para reducir la susceptibilidad. Intel publicó microcódigos actualizados para las generaciones de procesadores a partir de 2013 , que, sin embargo, deben estar disponibles por los fabricantes de computadoras y hardware. AMD también anunció actualizaciones de microcódigo. Debido a la difícil explotación de la vulnerabilidad que reclama AMD, estos se clasifican como opcionales. Para los sistemas con Windows 10 , Microsoft también ha estado ofreciendo actualizaciones del sistema operativo desde marzo de 2018, que contienen las mejoras de microcódigo de Intel para sus procesadores más nuevos.

Intel anunció que enviaría procesadores en la segunda mitad de 2018 que proporcionarían un mayor blindaje entre las aplicaciones en ejecución y entre los procesos con diferentes derechos de acceso para protegerse de los ataques de inyección de objetivos en sucursales .

Degradación del rendimiento

Incluso las medidas contra la inyección de objetivos de bifurcación a nivel del sistema operativo reducen la potencia de cálculo. Microsoft anunció una "pérdida notable de rendimiento".

Nuevas brechas de diseño de CPU

A principios de mayo de 2018, ocho vulnerabilidades de seguridad más en los procesadores Intel se conocieron como Spectre Next Generation (Spectre-NG), dos de las cuales se publicaron. Si bien una vulnerabilidad modifica Meltdown , la otra se basa en un ataque de canal lateral comparable a Spectre (descrito en 1996) y figura en el número CVE CVE-2018-3639 ( Bypass de tienda especulativa ). Intel calificó esta vulnerabilidad como de riesgo medio. Además de Intel, los procesadores de AMD, Arm e IBM también se ven afectados.

Al igual que con la omisión de verificación de límites , las medidas en el sistema operativo o en la aplicación pueden dificultar su evitación mediante la omisión de almacenamiento especulativo . Según un comunicado de Intel el 22 de mayo de 2018, los fabricantes de sistemas de PC recibieron actualizaciones de microcódigo para cerrar las brechas de seguridad. Dado que se produce una degradación del rendimiento del 2 al 8 por ciento, Intel deja que los fabricantes activen la contramedida en sus actualizaciones. IBM lanzó actualizaciones para sistemas POWER el 22 de mayo de 2018 . Microsoft proporcionó actualizaciones para los sistemas operativos Windows el 12 de junio de 2018, pero las medidas contra la omisión de la tienda especulativa solo pueden ser activadas por el usuario.

En julio de 2018, se anunciaron las brechas de CPU ret2spec, SpectreRSB y NetSpectre. A diferencia de todos los agujeros de seguridad anteriores, NetSpectre se puede utilizar en redes sin acceso local, se basa en Spectre (V1) y utiliza la extensión AVX2 - SIMD de los procesadores x86. Los sistemas operativos que ya cuentan con medidas de protección contra la explotación de la vulnerabilidad Spectre V1 dificultan los ataques de NetSpectre. En la práctica, un escenario de ataque es muy engorroso porque es un ataque de canal lateral y solo se pueden leer unos pocos bytes por hora incluso con una conexión de red rápida. También se requieren mediciones de tiempo precisas, que son más difíciles con conexiones de red lentas y sistemas lentos, y se deben conocer los detalles exactos del hardware y software (sistema operativo, controladores, programas) del sistema de destino, lo que limita considerablemente el ataque. Sin embargo, estos ataques son difíciles de detectar.

Muestreo de datos de microarquitectura

En mayo de 2019, se publicaron detalles sobre las brechas de CPU ZombieLoad y Store-to-Leak Forwarding. La resolución de problemas de los ataques ZombieLoad tiende a requerir reducir a la mitad el rendimiento. Todos los procesadores Intel fabricados después de 2012 que tienen Hyper-Threading se ven afectados . La variante TAA de los ataques ZombieLoad está dirigida contra los procesadores Cascade Lake de Intel, que se fabrican desde 2019.

Otros ataques MDS se conocen como RIDL (Rogue In-Flight Data Load) y Fallout.

enlaces web

• Vulnerabilidades de Spectre y Meltdown del sitio web de la Universidad Técnica de Graz (en inglés)
• Spectre Attacks: Explotación de la ejecución especulativa de la Universidad de Tecnología de Graz (pdf en inglés, sin fecha), consultado en enero de 2018
• Entrada de Google Project Zero en Spectre y Meltdown del 3 de enero de 2018
• Andreas Stiller: Análisis de la brecha del procesador: Meltdown y Spectre son un colapso de seguridad. En: Heise online , 5 de enero de 2018: “Las brechas de seguridad Meltdown y Spectre golpean a los fabricantes de procesadores en el mercado, especialmente a Intel. Las brechas resultan en más de una docena de posibles ataques: un colapso de la seguridad ".
• Martin Fischer: Preguntas frecuentes sobre Meltdown y Spectre: ¿Qué pasó? ¿Me afecta? ¿Cómo puedo protegerme? En: Heise online . 10 de enero de 2018 . Consultado el 10 de enero de 2018.
• Comprobador de mitigación / vulnerabilidad de Spectre & Meltdown para Linux

Evidencia individual