MacOS-apps die cryptografie gebruiken worden mogelijk trager door fix voor lek

Geheugentoegang is verschrikkelijk langzaam. Om CPUs op een acceptabele snelheid te kunnen draaien, is het daarom nodig om te "voorspellen" wat de komende data is die nodig is - een programma dat adres 0x001, 0x002, en 0x003 leest, heeft waarschijnlijk in de nabije toekomst ook 0x004 en 0x005 nodig, dus deze kan je alvast uit het geheugen lezen.

Het voordeel is dat de toegang van 0x004 significant sneller is, dus de CPU hoeft niet op het geheugen te wachten. Het nadeel is dat de toegang van 0x004 sneller is - dus een aanvaller kan het programma timen en concluderen dat het programma als geheime waardes 0x002 en 0x003 gebruikt.

Deze zogenaamde "side-channel attacks" zijn al heel lang bekend. De gebruikelijke oplossing is om de code expres inefficient te schrijven, waardoor deze altijd dezelfde draaitijd heeft en het onmogelijk is voor de CPU om te voorspellen welke data nodig is. Dit maakt een timing-aanval onmogelijk.

Het probleem dat Apple nu heeft is dat hun CPU probeert extra "slim" te zijn: in plaats van alleen te kijken naar geheugentoegang, kijkt het ook naar de data in het geheugen: iets dat er uit ziet als een geheugenadres zal waarschijnlijk in de toekomst gebruikt worden als geheugenadres - dus kan die data alvast worden geladen.

In deze aanval geeft de aanvaller speciaal gekozen waardes aan het slachtofferprogramma, die er voor zorgen dat de CPU denkt dat een tussenwaarde er uit ziet als een geheugenadres. Door de waardes goed te kiezen, kan je zo stukje bij beetje aan de hand van de tijdsduur van de berekening een geheime sleutel uitlezen.

Dit is waarschijnlijk niet in firmware te fixen, want het is een fundamenteel defect in het chipontwerp. In principe is alle cryptografie-code die op een Apple-SoC draait kwetsbaar - het paper laat zien dat de aanval zelfs werkt bij een standaard SSL-verbinding naar bijvoorbeeld een webserver, maar ook twee applicaties die op dezelfde machine draaien kunnen elkaar aanvallen. Zolang er enige vorm van cryptografie is over data die van een derde partij komt, is een aanval mogelijk.

De "oplossing" is om de code zo te herschrijven dat de CPU de data onmogelijk kan zien als een geheugenadres - in feite moet je dus de CPU voor de gek houden. Dat is het "blinding". Of je draait het op een CPU-core die geen "slimme" voorspeller heeft.

[Reactie gewijzigd door laurxp op 21 maart 2024 23:30]