Huidige CPU's hebben ontwerpfouten. Spectre legde ze bloot, maar aanvallen zoals Foreshadow en nu ZombieLoad maken gebruik van vergelijkbare zwakke punten. Deze "speculatieve uitvoering" -fouten kunnen alleen echt worden verholpen door een nieuwe CPU met ingebouwde bescherming te kopen.
Patches vertragen vaak bestaande CPU's
De industrie is verwoed aan het klauterenpatch "side-channel aanvallen" zoals Spectre en Foreshadow, die de CPU misleiden om informatie te onthullen die het niet zou moeten zijn. Bescherming voor huidige CPU's is beschikbaar gesteld via microcode-updates, fixes op besturingssysteemniveau en patches voor applicaties zoals webbrowsers.
Spectre fixes hebben computers met oude CPU's vertraagd, hoewel Microsoft op het punt staat ze weer een back-up te maken. Het patchen van deze bugs vertraagt vaak de prestaties op bestaande CPU's.
Nu roept ZombieLoad een nieuwe dreiging op: Om een systeem volledig tegen deze aanval te beveiligen, moet u de hyperthreading van Intel uitschakelen. Daarom heeft Google hyperthreading op Intel Chromebooks zojuist uitgeschakeld. Zoals gebruikelijk zijn CPU-microcode-updates, browser-updates en patches voor het besturingssysteem onderweg om het gat te dichten. De meeste mensen zouden geen hyper-threading hoeven uit te schakelen zodra deze patches op hun plaats zitten.
Nieuwe Intel CPU's zijn niet kwetsbaar voor ZombieLoad
Maar ZombieLoad is geen gevaar op systemen met nieuweIntel CPU's. Zoals Intel het uitdrukt, wordt ZombieLoad “geadresseerd in hardware beginnend met geselecteerde 8e en 9e generatie Intel® Core ™ -processors, evenals de 2e generatie Intel® Xeon® schaalbare processorfamilie.” Systemen met deze moderne CPU's zijn hier niet kwetsbaar voor nieuwe aanval.
ZombieLoad heeft alleen invloed op Intel-systemen, maar Spectre had ook invloed op AMD en sommige ARM-CPU's. Het is een industriebreed probleem.
CPU's hebben ontwerpfouten, waardoor aanvallen mogelijk zijn
Zoals de industrie zich realiseerde toen Spectre zijn lelijke kop opsteeg, hebben moderne CPU's enkele ontwerpfouten:
Het probleem hier is met "speculatieve uitvoering". Om prestatieredenen voeren moderne CPU's automatisch instructies uit die ze denken te moeten uitvoeren en, als ze dat niet doen, kunnen ze het systeem eenvoudig terugspoelen en terugbrengen naar de vorige staat ...
Het kernprobleem met zowel Meltdown als Spectreligt in de cache van de CPU. Een toepassing kan proberen geheugen te lezen en, als er iets in de cache wordt gelezen, wordt de bewerking sneller voltooid. Als het iets probeert te lezen dat zich niet in de cache bevindt, wordt het langzamer voltooid. De applicatie kan zien of iets snel of langzaam is voltooid en hoewel al het andere tijdens speculatieve uitvoering wordt opgeschoond en gewist, kan de tijd die het kostte om de bewerking uit te voeren niet worden verborgen. Het kan deze informatie vervolgens gebruiken om een kaart van alles in het geheugen van de computer te maken, één voor één. De caching versnelt de zaken, maar deze aanvallen profiteren van die optimalisatie en maken er een beveiligingslek van.
Met andere woorden, prestatie-optimalisaties inmoderne CPU's worden misbruikt. Code die op de CPU draait - misschien zelfs alleen JavaScript-code die in een webbrowser wordt uitgevoerd - kan van deze fouten profiteren om geheugen buiten de normale sandbox te lezen. In het ergste geval kan een webpagina op het ene browsertabblad uw wachtwoord voor online bankieren lezen van een ander browsertabblad.
Of, op cloudservers, kan een virtuele machine de gegevens in andere virtuele machines op hetzelfde systeem bekijken. Dit zou niet mogelijk moeten zijn.
VERWANT: Welke invloed hebben de smelt- en spookfouten op mijn pc?
Softwarepatches zijn gewoon Bandaids
Het is geen verrassing dat, om dit soort zijkanaalaanvallen te voorkomen, patches CPU's iets langzamer hebben uitgevoerd. De industrie probeert extra controles toe te voegen aan een prestatie-optimalisatielaag.
De suggestie om hyper-threading uit te schakelen is eenvrij typisch voorbeeld: door een functie uit te schakelen die uw CPU sneller laat werken, maakt u deze veiliger. Schadelijke software kan die prestatiefunctie niet meer benutten, maar versnelt uw pc niet meer.
Dankzij veel werk van heel veel smartmensen, moderne systemen zijn redelijk beschermd tegen aanvallen zoals Spectre zonder veel vertraging. Maar patches zoals deze zijn slechts pleisters: deze beveiligingsfouten moeten worden verholpen op CPU-hardwareniveau.
Fixes op hardwareniveau zullen meer biedenbescherming - zonder de CPU te vertragen. Organisaties hoeven zich geen zorgen te maken of ze de juiste combinatie van microcode (firmware) updates, patches voor het besturingssysteem en softwareversies hebben om hun systemen veilig te houden.
Zoals een team van beveiligingsonderzoekers het in een onderzoekspaper plaatste, zijn dit “niet alleen maar bugs, maar liggen ze eigenlijk aan de basis van optimalisatie.” CPU-ontwerpen zullen moeten veranderen.
Intel en AMD bouwen oplossingen op voor nieuwe CPU's
Fixes op hardwareniveau zijn niet alleen theoretisch. CPU-fabrikanten werken hard aan architecturale veranderingen die dit probleem op CPU-hardwareniveau oplossen. Of, zoals Intel het in 2018 uitdrukte, Intel 'verbeterde beveiliging op siliciumniveau' met CPU's van de 8e generatie:
We hebben delen van de processor opnieuw ontworpenintroduceer nieuwe beschermingsniveaus door middel van partitionering die beschermt tegen zowel [Spectre] Varianten 2 en 3. Beschouw deze partitionering als extra 'beschermende muren' tussen applicaties en gebruikersprivileges om een obstakel voor slechte acteurs te creëren.
Intel heeft eerder aangekondigd dat het 9e isgeneratie CPU's bieden extra bescherming tegen Foreshadow en Meltdown V3. Deze CPU's worden niet beïnvloed door de recent onthulde ZombieLoad-aanval, dus die beveiligingen moeten helpen.
AMD werkt ook aan veranderingen, hoewel niemandwil veel details onthullen. In 2018 zei Lisa SuD, CEO van AMD: "Op langere termijn hebben we wijzigingen in onze toekomstige processorcores opgenomen, te beginnen met ons Zen 2-ontwerp, om potentiële spookachtige exploits verder aan te pakken."
Voor iemand die de snelste prestaties wilzonder dat patches de zaken vertragen - of gewoon een organisatie die volledig zeker wil zijn dat haar servers zo beschermd mogelijk zijn - is de beste oplossing om een nieuwe CPU te kopen met die hardware-gebaseerde fixes. Verbeteringen op hardwareniveau zullen hopelijk ook andere toekomstige aanvallen voorkomen voordat ze worden ontdekt.
Ongeplande veroudering
Terwijl de pers het soms heeft over 'gepland'veroudering "- een bedrijfsplan dat hardware verouderd raakt, zodat u deze moet vervangen - dit is ongeplande veroudering. Niemand verwachtte dat zoveel CPU's om veiligheidsredenen zouden moeten worden vervangen.
De lucht valt niet. Iedereen maakt het voor aanvallers moeilijker om bugs zoals ZombieLoad te exploiteren. Je hoeft nu niet te racen en een nieuwe CPU te kopen. Maar voor een complete oplossing die de prestaties niet schaadt, is nieuwe hardware vereist.
