Les processeurs AMD des 9 dernières années vulnérables à 2 nouvelles attaques par canal latéral

Les processeurs AMD datant de 2011 à 2019 présentent des vulnérabilités non divulguées qui les exposent à deux nouvelles attaques par canal latéral, selon une étude récemment publiée.

Connu sous le nom de « Take A Way, » les nouveaux vecteurs d’attaque potentiels exploitent le prédicteur de chemin du cache de données L1 (L1D) dans la microarchitecture Bulldozer d’AMD pour faire fuir des données sensibles des processeurs et compromettre la sécurité en récupérant la clé secrète utilisée pendant le cryptage.

La recherche a été publiée par un groupe d’universitaires de l’Université de technologie de Graz et de l’Institut de recherche en informatique et systèmes aléatoires (IRISA), qui ont divulgué de manière responsable les vulnérabilités à AMD en août 2019.

« Nous sommes au courant d’un nouveau livre blanc qui revendique des exploits de sécurité potentiels dans les CPU AMD, par lesquels un acteur malveillant pourrait manipuler une fonctionnalité liée au cache pour potentiellement transmettre des données utilisateur d’une manière non intentionnelle ». AMD a déclaré dans un avis publié sur son site Web au cours du week-end.

« Les chercheurs couplent ensuite ce chemin de données avec des vulnérabilités logicielles ou de canal latéral d’exécution spéculative connues et atténuées. AMD estime qu’il ne s’agit pas de nouvelles attaques basées sur la spéculation. »

Bien que la notification n’entre pas dans les détails concernant l’atténuation de l’attaque, Vedad Hadžić, l’un des principaux chercheurs de l’article, a déclaré que le… vulnérabilité est toujours ouverte à une exploitation active.

Avec l’examen minutieux d’Intel pour une série de failles dans ses processeurs – de Meltdown, Spectre, ZombieLoad au récent Défaut non corrigeable du firmware CSME – Cette recherche rappelle qu’aucune architecture de processeur n’est totalement sécurisée.

Il est intéressant de noter que certains des coauteurs cités dans l’étude sont également à l’origine de la découverte des vulnérabilités Meltdown, Spectre et ZombieLoad.

Attaques Collide+Probe et Load+Reload

Comme l’attaque Intel Spectre, la paire d’exploits – baptisée Collide+Probe et Chargement+rechargement – manipulent le prédicteur de cache L1D susmentionné afin d’accéder à des données qui devraient autrement être sécurisées et inaccessibles.

« Avec Collide+Probe, un attaquant peut surveiller les accès à la mémoire d’une victime sans connaître les adresses physiques ou la mémoire partagée lors du partage du temps d’un cœur logique », soulignent les chercheurs. « Avec Load+Reload, nous exploitons le prédicteur de voie pour obtenir des traces d’accès à la mémoire très précises des victimes sur le même noyau physique. »

Le prédicteur de chemin de cache L1D est un mécanisme d’optimisation qui vise à réduire la consommation d’énergie associée à l’accès aux données mises en cache en mémoire :

 » Le prédicteur calcule un μTag en utilisant une fonction de hachage non documentée sur l’adresse virtuelle. Ce μTag est utilisé pour rechercher le chemin du cache L1D dans une table de prédiction. Par conséquent, le processeur doit comparer le tag de cache d’une seule manière au lieu de toutes les manières possibles, ce qui réduit la consommation d’énergie. »

Les attaques de cache nouvellement découvertes fonctionnent par rétro-ingénierie de cette fonction de hachage pour suivre les accès mémoire d’un cache L1D. Alors que Collide+Probe exploite les collisions μTag dans le prédicteur de chemin du cache L1D d’AMD, Load+Reload profite de la gestion des adresses alias dans la mémoire par le prédicteur de chemin.

En d’autres termes, les deux techniques d’attaque peuvent être utilisées pour exfiltrer des données sensibles d’un autre processus, partageant la même mémoire que l’attaquant ou d’un processus s’exécutant sur un noyau logique différent du CPU.

Pour démontrer l’impact des attaques par canal latéral, les chercheurs ont établi un canal caché basé sur le cache qui a exfiltré des données d’un processus s’exécutant sur le CPU AMD vers un autre processus furtif, atteignant un taux de transmission maximal de 588,9kB/s en utilisant 80 canaux en parallèle sur le processeur AMD Ryzen Threadripper 1920X.

Les processeurs EPYC d’AMD étant adoptés par les plateformes de cloud computing les plus populaires telles que Amazon, Googleet Microsoftle fait que ces attaques puissent être menées dans un environnement en nuage pose des problèmes importants.

En outre, les chercheurs en sécurité ont réussi à mettre en place une attaque Collide+Probe sur certains navigateurs courants, à savoir Chrome et Firefox, en contournant la randomisation de l’espace d’adressage (ASLR) dans les navigateurs, réduisant ainsi l’entropie et récupérant les informations d’adresse.

L’ASLR est une implémentation de sécurité utilisée pour randomiser et masquer les emplacements exacts du code et des zones de données clés dans la mémoire d’un processeur. En d’autres termes, il empêche un attaquant potentiel de deviner les adresses cibles et de sauter à des sections spécifiques de la mémoire.

« Dans Firefox, nous sommes en mesure de réduire l’entropie de 15 bits avec un taux de réussite de 98% et un temps d’exécution moyen de 2,33 s (σ=0,03s, n=1000) », notent les chercheurs. « Avec Chrome, nous pouvons réduire correctement les bits avec un taux de réussite de 86,1% et un temps d’exécution moyen de 2,90s (σ=0,25s, n=1000). »

Par la suite, les chercheurs ont utilisé la même attaque Collide+Probe pour faire fuir des données de la mémoire du noyau et même récupérer la clé de chiffrement d’une implémentation de T-table qui stocke les résultats intermédiaires des opérations cryptographiques utilisant le chiffrement AES.

Atténuation de l’attaque

La bonne nouvelle est que les attaques jumelles peuvent être atténuées par une variété de solutions uniquement matérielles, de modifications matérielles et logicielles et de solutions uniquement logicielles – y compris la conception du processeur d’une manière qui permet de désactiver dynamiquement et temporairement le prédicteur de chemin et d’effacer l’état du prédicteur de chemin lors du passage du mode noyau au mode utilisateur.

Ce n’est pas la première fois que les processeurs AMD s’avèrent être vulnérables aux attaques du CPU, notamment Spectrece qui a obligé la société à publier un grand nombre de correctifs.

Il reste à voir si AMD va corriger les failles mises en évidence dans la nouvelle recherche. Nous avons contacté AMD pour obtenir des commentaires et nous mettrons l’article à jour si nous recevons une réponse.