Kako zaštititi svoje računalo od Intel Foreshadow Pukotine
Foreshadow, također poznat kao L1 Terminal Fault, još je jedan problem s spekulativnim izvršenjem u Intelovim procesorima. Omogućava zlonamjernom softveru da probije sigurna područja koja čak ni Spectre i Meltdown ne mogu puknuti.
Što je Foreshadow?
Konkretno, Foreshadow napada Intelovu značajku Software Guard Extensions (SGX). To je ugrađeno u Intelove čipove kako bi programi stvorili sigurne “enklave” kojima se ne može pristupiti, čak ni drugim programima na računalu. Čak i da je zlonamjerni softver bio na računalu, u teoriji nije mogao pristupiti sigurnoj enklavi. Kada su objavljeni Spectre i Meltdown, sigurnosni istraživači su otkrili da je memorija zaštićena SGX-om uglavnom imuna na Spectre i Meltdown napade..
Postoje i dva povezana napada, koje istraživači sigurnosti nazivaju "Foreshadow - Next Generation" ili Foreshadow-NG. Oni omogućuju pristup informacijama u načinu upravljanja sustavom (SMM), kernelu operativnog sustava ili hipervizoru virtualnog računala. U teoriji, kodovi koji se izvode u jednom virtualnom stroju na sustavu mogu čitati informacije pohranjene u drugom virtualnom stroju na sustavu, iako bi ti virtualni strojevi trebali biti potpuno izolirani.
Foreshadow i Foreshadow-NG, poput Spectre i Meltdown, koriste nedostatke u spekulativnom izvršenju. Moderni procesori pogađaju kod za koji misle da bi se mogli pokrenuti sljedeći te ga preemptivno izvršavaju kako bi uštedjeli vrijeme. Ako program pokuša pokrenuti kod, to je već učinjeno, a procesor zna rezultate. Ako ne, procesor može odbaciti rezultate.
Međutim, ovo spekulativno izvršenje ostavlja neke informacije iza sebe. Na primjer, ovisno o tome koliko je vremena potrebno da se izvrši spekulativni proces izvršavanja određenih vrsta zahtjeva, programi mogu zaključiti koji su podaci u području memorije - čak i ako ne mogu pristupiti tom području memorije. Budući da zlonamjerni programi mogu koristiti ove tehnike za čitanje zaštićene memorije, mogli bi čak pristupiti podacima pohranjenim u L1 cacheu. Ovo je memorija niske razine na CPU-u gdje su pohranjeni sigurni kriptografski ključevi. Zbog toga su ti napadi poznati i kao "L1 Terminal Fault" ili L1TF.
Da biste iskoristili prednost Foreshadow-a, napadač samo treba moći pokrenuti kod na vašem računalu. Kôd ne zahtijeva posebne dozvole - to može biti standardni korisnički program bez pristupa niže razine sustava ili čak softver koji se izvodi unutar virtualnog računala.
Od objave Spectre i Meltdown, vidjeli smo stalan tok napada koji zloupotrebljavaju funkcionalnost spekulativnog izvršenja. Naprimjer, napad Speculative Store Bypass (SSB) utjecao je na procesore iz Intel-a i AMD-a, kao i na neke ARM procesore. Najavljen je u svibnju 2018. godine.
Da li se predvorje koristi u divljini?
Foreshadow su otkrili sigurnosni istraživači. Ovi istraživači imaju dokaz-of-concept - drugim riječima, funkcionalni napad - ali oni to ne oslobađaju u ovom trenutku. To daje svima vremena da kreiraju, objavljuju i primjenjuju zakrpe za zaštitu od napada.
Kako možete zaštititi svoje računalo
Imajte na umu da su samo računala s Intelovim čipovima ranjiva na Foreshadow. AMD čipovi nisu ranjivi na ovaj nedostatak.
Većini računala s operativnim sustavom Windows potrebna su samo ažuriranja operativnog sustava kako bi se zaštitila od Foreshadowa. Samo pokrenite Windows Update da biste instalirali najnovije zakrpe. Microsoft kaže da nije primijetio gubitak performansi zbog instaliranja tih zakrpa.
Neka računala mogu također trebati novi Intel mikrokode kako bi se zaštitili. Intel kaže da su to ista ažuriranja za mikrokode koja su objavljena ranije ove godine. Možete dobiti novi firmver, ako je dostupan za vaše računalo, instaliranjem najnovijih UEFI ili BIOS ažuriranja s računala ili proizvođača matične ploče. Također možete instalirati ažuriranja mikrokodova izravno od tvrtke Microsoft.
Što sustavni administratori trebaju znati
Računala koja koriste hipervizorski softver za virtualne strojeve (na primjer, Hyper-V) također će trebati ažuriranja tog softvera hipervizora. Na primjer, osim Microsoftovog ažuriranja za Hyper-V, VMWare je izdao ažuriranje softvera za virtualni stroj.
Sustavi koji koriste Hyper-V ili sigurnost temeljenu na virtualizaciji možda će trebati više drastične promjene. To uključuje i onemogućavanje hiper-navoja, što će usporiti računalo. Većina ljudi to neće morati učiniti, ali administratorima sustava Windows Server koji koriste Hyper-V na Intelovim procesorima morat će ozbiljno razmotriti onemogućavanje hiper-navoja u BIOS-u sustava kako bi njihovi virtualni strojevi bili sigurni.
Pružatelji usluga u oblaku kao što su Microsoft Azure i Amazon Web Services također zakrpe svoje sustave kako bi zaštitili virtualne strojeve na zajedničkim sustavima od napada.
Zakrpe mogu biti potrebne i za druge operativne sustave. Na primjer, Ubuntu je izdao Linux kernel ažuriranja za zaštitu od tih napada. Apple još nije komentirao ovaj napad.
Konkretno, CVE brojevi koji identificiraju ove nedostatke su CVE-2018-3615 za napad na Intel SGX, CVE-2018-3620 za napad na operativni sustav i način upravljanja sustavom, i CVE-2018-3646 za napad na upravitelj virtualnog stroja.
Intel je na blogu objavio da radi na boljim rješenjima za poboljšanje performansi uz blokiranje eksplozija temeljenih na L1TF-u. Ovo rješenje će primijeniti zaštitu samo kada je to potrebno, poboljšavajući performanse. Intel kaže da je već predodređeni CPU mikrokod s ovom značajkom nekim partnerima i ocjenjuje ga objavljivanjem.
Konačno, Intel primjećuje da se "L1TF rješava i promjenama na hardverskoj razini." Drugim riječima, budući Intelovi CPU-i će sadržavati poboljšanja hardvera kako bi se bolje zaštitili od Spectre, Meltdown, Foreshadow i drugih spekulativnih napada na temelju izvršenja. manje gubitka performansi.
Zasluge za sliku: Robson90 / Shutterstock.com, Foreshadow.
