Mis on Foreshadow?
Eelkõige on Foreshadowi rünnakud Inteli tarkvara turvavärskenduse (SGX) funktsiooniga. See on sisse ehitatud Inteli kiibidesse, et võimaldada programmidel luua turvalised "enklaave", mida ei saa kasutada isegi teiste arvutiprogrammide kaudu. Isegi kui pahavara on arvutis, ei pääse ta turvalise enklaavi teoreetiliselt juurde. Kui Spectre ja Meltdown kuulutati välja, leidsid turvateadlased, et SGX-kaitstud mälu oli enamasti immuunne Spectre ja Meltdown rünnakute vastu.
Samuti on kaks seotud rünnakut, mida turvatöötajad nimetavad "Foreshadow - järgmise põlvkonna" või Foreshadow-NG. Need võimaldavad juurdepääsu teabele süsteemijuhtimise režiimis (SMM), operatsioonisüsteemi kernelist või virtuaalse masina hüpervisorist. Teoorias võib ühes virtuaalses masinas olev kood süsteemis lugeda teises virtuaalses masinas olevat teavet, kuigi need virtuaalsed masinad peaksid olema täielikult eraldatud.
Foreshadow ja Foreshadow-NG, nagu Spectre ja Meltdown, kasutavad spekulatiivse täitmise vigu. Tänapäevased protsessorid arvavad, et kood, mida nad arvavad, võiksid käia järgmisel ja vältida seda, et säästa aega. Kui programm proovib koodi käivitada, on see suurepärane - see on juba tehtud ja protsessor teab tulemusi. Kui ei, siis võib protsessor tulemusi ära visata.
Kuid see spekulatiivne täitmine jätab mõned andmed maha. Näiteks tuginedes sellele, kui kaua peaks teatud tüüpi taotlusi täitma spekulatiivne täitmisprotsess, saavad programmid järeldada, millised andmed on mälus, isegi kui nad ei pääse sellele mälupiirkonnale. Kuna pahatahtlikud programmid saavad neid tehnoloogiaid kaitstud mälu lugemiseks kasutada, võivad nad isegi pääseda L1 vahemällu salvestatud andmetele. See on madalaima mälu CPU-s, kus on salvestatud turvalised krüptograafilised võtmed. Seepärast nimetatakse neid rünnakuid ka kui "L1 Terminal Fault" või L1TF.
Foreshadowi ärakasutamiseks peab ründaja lihtsalt oma arvutis käivitama koodi. Kood ei nõua spetsiaalseid õigusi - see võib olla tavaline kasutajaprogramm, millel puudub madaltasemel juurdepääs süsteemile või isegi virtuaalses masinas töötav tarkvara.
Pärast Spectre ja Meltdowni väljakuulutamist oleme näinud püsivat rünnakute voogu, mis kuritarvitavad spekulatiivse täitmise funktsionaalsust. Näiteks spekulatiivse poodu ringluse (SSB) rünnak mõjutas protsesse Intelist ja AMD-lt, samuti mõnda ARM-protsessorit. See teatati 2018. aasta mais.
Kas looduses kasutatakse loodet?
Foreshadow avastas turvatöötajad. Need teadlased on tõenduspõhised - teisisõnu, funktsionaalne rünnak - kuid nad ei vabasta seda praegu. See võimaldab kõigil aegadel rünnaku eest kaitsta, vabastada ja rakendada plaastreid.
Kuidas saate oma arvutit kaitsta
Enamik Windowsi operatsioonisüsteemi värskendusi vajavad ainult Microsofti ametliku julgeolekualase nõuannete põhjal, et end kaitsta Foreshadowi eest. Kõige värskemate paikade installimiseks käivitage Windows Update. Microsoft ütleb, et ta ei ole märganud nende plaastrite installimisel mingit jõudluskao.
Mõned arvutid võivad end kaitsmiseks vajada ka uut Inteli mikrokoodi. Intel ütleb, et need on sama mikodeeritud värskendused, mis ilmusid käesoleva aasta alguses. Võite saada uue püsivara, kui see on teie arvuti jaoks saadaval, installides uusimaid UEFI- või BIOS-i värskendusi arvutist või emaplaadi tootjalt. Microsofti värskendusi saate installida ka Microsofti otse.
Mida süsteemihaldurid vajavad?
Arvutid, mis kasutavad hüpervisori tarkvara virtuaalarvutitele (näiteks Hyper-V), vajavad hüperviisoritarkvara uuendusi. Näiteks lisaks Microsofti värskendusele Hyper-V jaoks on VMWare välja andnud oma virtuaalse masinate tarkvara värskenduse.
Süsteemid, mis kasutavad Hyper-V või virtualiseerimine põhinevat turvalisust, võivad vajada drastilisemaid muudatusi. See hõlmab hiirevooge keelamist, mis aeglustab arvutit. Enamik inimesi ei pea seda tegema, kuid Windowsi serveri administraatorid, kes kasutavad Hyper-V Inteli protsessoriga, peavad tõsiselt kaaluma BIOS-i hüper-sisselülitamise keelamist, et oma virtuaalseid masinaid turvaliselt hoida.
Cloud pakkujad, nagu Microsoft Azure ja Amazon Web Services, lasevad ka oma süsteemid, et kaitsta virtuaalseid masinaid jagatud süsteemidest rünnaku eest.
Ka teiste operatsioonisüsteemide jaoks võivad olla vaja patareid. Näiteks on Ubuntu välja andnud Linuxi kerneli uuendused, et kaitsta nende rünnakute eest. Apple pole veel seda rünnakut kommenteerinud.
Konkreetselt on CVE-numbrid, mis tuvastavad need vead, CVE-2018-3615 rünnakuks Intel SGX-ile CVE-2018-3620 rünnaku eest operatsioonisüsteemile ja süsteemi juhtimise režiimile ning CVE-2018-3646 rünnakule virtuaalse masina haldur.
Blogi postituses väitis Intel, et töötab parema lahenduse suunas, et parandada tulemusi, kui blokeerib L1TF-põhiseid rakendusi. See lahendus kohaldab kaitset ainult vajaduse korral, parandades tulemusi.Intel ütleb, et selle funktsiooni abil juba mõnedel partneritel on juba eelnenud vabastamist andev protsessori mikrokood, mis hindab selle vabastamist.
Lõpuks märgib Intel, et "L1TF-i käsitletakse ka muudatustega, mida me riistvaratasandil teeme." Teisisõnu, tulevased Intel-i protsessorid sisaldavad riistvara täiustusi, et paremini kaitsta Spectre, Meltdown, Foreshadow ja teiste spekulatiivsete täitmispõhiste rünnakute eest vähem jõudluskaod.
