Land

Security Blog

Nach Spectre und Meltdown kommt PortSmash

Ist die SSL-Verschlüsselung wirkungslos? Neue Attacke auf Intel-CPU entdeckt

 Wir erinnern uns noch allzu gut an den Jänner dieses Jahres: da sorgte das Bekanntwerden der Security-Bugs Spectre und Meltdown für enormes Aufsehen. Durch das Ausnutzen einer (sehr alten) Designschwäche war es möglich, innerhalb aktueller CPUs unerlaubt auf andere Speicherbereiche zuzugreifen. In der Theorie konnten damit lokal auf einem System von anderen Prozessen Daten gestohlen werden. Handelt es sich dabei um vertrauliche Informationen und Verschlüsselungsdetails, sind enorme Auswirkungen denkbar.

Besonders kritisch wurde diese Lücke für Cloud-Provider eingestuft, wo sich mehrere Mandanten dieselben Systeme teilen. Aber auch die Endanwender schienen potentiell gefährdet. Vorstellbar war beispielsweise, dass eine kompromittierte Web-Applikation andere sensitive Anwendungen am lokalen PC, z.B. Telebanking oder verschlüsselte Verbindungen, ausspionieren kann.

Software-Algorithmen und Hardware-Implementation

Anfang November wurde nun eine weitere Lücke aus der Gruppe „Side-Channel Attack“ für CPUs entdeckt. Forscher der Technischen Universitäten Tampere in Finnland und Havanna/Kuba identifizierten die Schwachstelle und gaben ihr den klingenden Namen PortSmash.

Beim Erforschen von „Seitenkanalattacken“ werden nicht nur Verfahren und Algorithmen selbst, sondern auch die umgebungsspezifischen Implementierungen auf unterschiedlichen Systemen untersucht. Das Prinzip beruht darauf, verschiedene Parameter bei der Ausführung kryptographischer Methoden zu beobachten und so ausnutzbare Korrelationen zu erkennen. Das können Variablen wie Timing, Energieverbrauch, Strahlung oder andere physikalischen Größen des betroffenen Systems sein.

Welche Schwachstelle nutzt PortSmash?

Die aktuelle Schwachstelle CVE-2018-5407 bezieht sich auf das schon lang verwendete Hyper-Threading von Prozessoren. Beim simultanen Ausführen von Threads laufen zwei Software-Prozesse parallel auf ein- und demselben physikalischen CPU-Core. Die Existenz von zwei Prozessoren wird dabei im Hintergrund nur simuliert. Einem Prozess ist es dabei möglich, die Aktivitäten des anderen Prozesses genau zu beobachten. Durch das alleinige Analysieren der Zeitabläufe sind Rückschlüsse auf Rechenoperationen und deren Ergebnisse möglich. Im dem Proof-of-Concept wurde so ein OpenSSL-Schlüssel von einem TLS-Server-Prozess ausgelesen: der Beweis, dass durch Ausnutzen der Schwachstelle diese SSL-Verschlüsselungsmethoden umgangen werden können.

Auswirkungen und Risikoeinschätzung

Betroffen von der Sicherheitslücke sind potentiell alle Systeme mit aktiviertem Hyper-Threading. Spezifisch untersucht wurde die Kombination von Intel Sky Lake und Kaby Lake Prozessoren mit der OpenSSL-Bibliothek. Die gute Nachricht: Um die Schwachstelle auszunutzen, muss es bereits möglich sein, auf dem Ziel-Computer Schadsoftware auszuführen. Der Angriffsprozess muss die Rechte und Möglichkeit haben, auf demselben Core wie der Zielprozess ausführbar zu sein. Dieses Gesamtrisiko wird laut des CVSS-Scores als „mittel“ bewertet.

Hardware-Bug oder Softwarefehler? Vorbeugende Maßnahmen

Die Eigenheit von Side-Channel Attacken ist, dass die Kombination verschiedener Verhaltensweisen analysiert und ausgenutzt wird. Gegenmaßnahmen sind daher auf beiden Ebenen möglich, aber mit unterschiedlichen Auswirkungen. Für die OpenSSL-Bibliothek ist inzwischen eine nachgebesserte Version verfügbar, die diese Art von Angriffen begrenzt und die geheimen Schlüssel besser schützt. Auf der Hardware- oder Betriebssystemseite ist es vorbeugend möglich, Hyperthreading im Bios zu deaktivieren und diesem Angriff somit die Grundlage zu entziehen. Die höchste Gefährdungswahrscheinlichkeit ist in öffentlichen Cloud-Umgebungen denkbar, wo unterschiedliche Kunden dieselbe Hardware unter Nutzung von Virtualisierung verwenden. Eine Deaktivierung des Hyperthreading resultiert jedoch sehr wahrscheinlich in einer höheren CPU-Last, da die verschiedenen Prozesse nicht mehr so effizient aufgeteilt und abgearbeitet werden können. 

Neues Betätigungsfeld für Angreifer?

Unter Sicherheitsforschern wird angenommen, dass die IT-Branche in Zukunft einen zunehmenden Trend für diese Art von Schwachstellen und Angriffen erfahren wird. Während sicherheitsrelevante Softwareentwicklung inzwischen einen sehr fortgeschrittenen Reifegrad erreicht hat, stecken die umfassenden Analysen der Hard- und Softwarekombinationen noch im Anfangsstadium. Für eine zuverlässige Trennung von verschiedenen IT-Sicherheitszonen ist nach wie vor unterschiedliche, dezidierte und getrennte Hardware zu empfehlen.

 

Alle Blog-Beiträge zu Spectre & Meltdown zum Nachlesen:

Zwei weitreichende Sicherheitslücken in allen modernen CPUs entdeckt. Einige Updates sind bereits verfügbar.
https://www.ikarussecurity.com/at/ueber-ikarus/security-blog/zwei-weitreichende-sicherheitsluecken-in-allen-modernen-cpus-entdeckt-einige-updates-sind-bereits-verfuegbar/

Update zum Thema Meltdown & Spectre
https://www.ikarussecurity.com/at/ueber-ikarus/security-blog/update-zum-thema-meltdown-spectre/

Meltdown & Spectre: Auf einer Skala von 1 bis 10: Wie gut sind Sie vorbereitet?
https://www.ikarussecurity.com/at/ueber-ikarus/security-blog/meltdown-spectre-auf-einer-skala-von-1-bis-10-wie-gut-sind-sie-vorbereitet/

Spectre und Meltdown: Microsoft adaptiert Update-Strategie und inkludiert nun CPU-Firmware in Windows Aktualisierungen
https://www.ikarussecurity.com/at/ueber-ikarus/security-blog/spectre-und-meltdown-microsoft-adaptiert-update-strategie-und-inkludiert-nun-cpu-firmware-in-windows-aktualisierungen/

Die CPU-Bugs Spectre und Meltdown gehen in die nächste Runde - Intel Forscher bereiten neue Warnungen vor
https://www.ikarussecurity.com/at/ueber-ikarus/security-blog/die-cpu-bugs-spectre-und-meltdown-gehen-in-die-naechste-runde-intel-forscher-bereiten-neue-warnungen-vor/