Микроархитектурные каналы — это важный, но часто неправильно понимаемый аспект современной кибербезопасности. В отличие от традиционных побочных каналов в сетях, микроархитектурные каналы используют низкоуровневые аппаратные поведения современных ЦП для утечки конфиденциальной информации. В этой публикации блога подробно рассматривается, что собой представляют эти каналы, как они работают, почему они опасны и какие практические шаги можно предпринять для их обнаружения и предотвращения, с реальными примерами и кодами.
Содержание
- Введение в Микроархитектурные Каналы
- Побочные Каналы vs. Скрытые Каналы: Определения и Различия
- Как Работают Микроархитектурные Скрытые Каналы
- Эксплуатация и Реальные Исследования
- Техники Обнаружения Микроархитектурных Скрытых Каналов
- Стратегии Предотвращения и Смягчения
- Практика: Сканирование и Обнаружение Микроархитектурных Атак
- Примеры Python и Bash: Разбор Аппаратных Событий и Тайминга
- Заключение
- Ссылки
Современные ЦП являются чудом инженерного искусства, оптимизированные для скорости, эффективности и параллелизма. Однако под абстракцией программного обеспечения скрывается сложная система, где процессы разделяют физические ресурсы, такие как кэши, контроллеры памяти и блоки выполнения. Микроархитектурные каналы — это коммуникационные пути, которые используют эти общие ресурсы, которые, если их не устранять, могут быть использованы для утечки секретов через границы процессов, нарушая фундаментальные предположения безопасности.
Побочный канал — это путь для утечки информации, который не использует уязвимости программного обеспечения напрямую, а вместо этого наблюдает за различиями в поведении системы (такими как потребление энергии, тайминг, попадания/промахи кэша) для извлечения секретов. Например, злоумышленник может вычислить криптографические ключи, наблюдая за временем, затраченным на выполнение определенных операций.
Скрытый канал — это канал связи, используемый для передачи информации таким образом, что нарушает политику безопасности системы. В отличие от побочных каналов, скрытые каналы обычно используются намеренно, чтобы скрытно обмениваться информацией между двумя сговорившимися сторонами.
Ключевое Различие:
Микроархитектурные каналы функционируют глубоко внутри аппаратного обеспечения, используя способ, которым ресурсы разделяются между процессами, тогда как сетевые каналы используют среду передачи данных.
Давайте рассмотрим, как злоумышленники строят микроархитектурные скрытые (и побочные) каналы, используя общие ресурсы ЦП.
// Упрощенные шаги для Prime+Probe
1. Закрепление: доступ к линиям кэша для заполнения конкретного набора кэша
2. Дать жертве выполнить код
3. Зондирование: доступ к тем же линиям кэша и измерение времени доступа
4. Промахи кэша свидетельствуют об удалении, вероятно из-за доступа жертвы
Эти атаки используют спекулятивное выполнение, когда процессоры предугадывают будущие инструкции для улучшения производительности. Неверные предсказания откатываются, но побочные эффекты в микроархитектуре (например, состояние кэша) остаются, утечка тайн.
Используя историю в таблицах прогнозов ветвлений, злоумышленники могут извлекать решения о ходе выполнения кода жертвы.
Если два процесса делят физические единицы выполнения, то соперничество вызывает измеряемые изменения во времени.
Предположим, что Процесс A (злоумышленник) и Процесс B (жертва) работают на одной машине, деля ресурсы кэша.
Микроархитектурные скрытые каналы — это не только теоретические угрозы, они уже позволили совершить одни из самых значительных практических атак на современную вычислительную инфраструктуру.
В облачных средах злоумышленники, находящиеся на одном аппаратном обеспечении с целью, могут использовать атаки на кэш для утечки информации от соседних ВМ.
JavaScript-код может измерять интервалы времени и использовать состояние общего кэша, извлекая биты конфиденциальной информации из контекста браузера пользователя.
Обнаружить эти каналы трудно, но существуют несколько практических подходов.
Современные ЦП предоставляют счетчики для событий, таких как промахи кэша, неправильные прогнозы ветвлений, остановки выполнения. Сплески или необычные шаблоны могут указывать на атаку.
Примеры соответствующих событий:
cache-referencescache-missesbranch-instructionsbranch-missesПродвинутые операционные системы (и гипервизоры) могут наблюдать, логировать и анализировать аномалии в тайминге процессов для выявления подозрительного поведения.
Современные исследования используют машинное обучение для различения доброкачественного и злонамеренного использования аппаратных ресурсов, моделируя нормальные шаблоны и отмечая выбросы.
Предотвращение микроархитектурных скрытых каналов часто включает как аппаратные, так и программные подходы.
Снижение точности таймера или добавление шума уменьшает эффективность атак, особенно для атак через JavaScript.
Написание кода, время выполнения которого не зависит от секретных данных, устраняет многие тайминговые каналы.
Некоторые ЦП теперь включают "устойчивый к побочным каналам" дизайн, с разделенными кэшами и смягчением спекулятивного выполнения.
Давайте пройдем через процесс сканирования на наличие микроархитектурных аномалий с использованием инструментов с открытым исходным кодом и кода.
perf для Сбора Данных о Производительностиperf list | grep cache
<pid> на фактический PID)sudo perf stat -e cache-references,cache-misses -p <pid>
104,212 кэш-ссылки
12,342 промахи кэша
sudo perf record -e cache-misses -p <pid> -- sleep 10
sudo perf report
sudo perf stat -a --per-socket -e cache-misses sleep 5 | grep "cache-misses"
Или по процессу:
ps -eo pid,comm | while read pid comm; do
sudo perf stat -p $pid -e cache-misses -I 1000 -- sleep 1 2>&1 | grep cache-misses
done
Предположим, вы хотите автоматизировать сканирование нескольких процессов или анализировать результаты perf для обнаружения аномалий.
perf stat на Подозрительные Увеличения Промахов Кэшаimport subprocess
import re
def get_cache_misses(pid):
cmd = ["perf", "stat", "-p", str(pid), "-e", "cache-misses", "--", "sleep", "2"]
result = subprocess.run(cmd, stderr=subprocess.PIPE, stdout=subprocess.PIPE, text=True)
match = re.search(r"([\d,]+)\s+cache-misses", result.stderr)
if match:
count = int(match.group(1).replace(",", ""))
return count
else:
return None
# Сканировать все процессы
import psutil
for proc in psutil.process_iter(attrs=['pid', 'name']):
pid = proc.info['pid']
name = proc.info['name']
try:
misses = get_cache_misses(pid)
if misses and misses > 100000:
print(f"Подозрительно: PID {pid} ({name}) имеет {misses} промахов кэша")
except Exception:
continue
#!/bin/bash
THRESHOLD=100000
for pid in $(ps -e -o pid=); do
MISS=$(sudo perf stat -p $pid -e cache-misses -- sleep 1 2>&1 | grep cache-misses | awk '{print $1}' | tr -d ',')
if [ ! -z "$MISS" ] && [ "$MISS" -gt "$THRESHOLD" ]; then
echo "Предупреждение: у PID $pid высокие промахи кэша ($MISS)"
fi
done
По этическим и юридическим причинам, экспериментируйте только в безопасной, изолированной и разрешенной тестовой среде.
// ВНИМАНИЕ: Только для демонстрации. Не используйте на производственных системах.
#include <stdio.h>
#include <stdlib.h>
#include <stdint.h>
#include <x86intrin.h>
#include <unistd.h>
#define CACHE_LINE_SIZE 64
#define PROBE_COUNT 100000
volatile char *array;
void prime_cache() {
for (int i = 0; i < 4096; i += CACHE_LINE_SIZE)
_mm_clflush(&array[i]);
}
int probe_cache() {
int sum = 0;
uint64_t start, end;
for (int i = 0; i < 4096; i += CACHE_LINE_SIZE) {
start = __rdtscp(&i);
volatile char x = array[i];
end = __rdtscp(&i);
sum += (end - start);
}
return sum;
}
int main() {
array = malloc(4096);
for (int i = 0; i < PROBE_COUNT; i++) {
prime_cache();
usleep(1); // Позволить "жертве" выполнить код
int timing = probe_cache();
printf("%d\n", timing);
}
free((void *)array);
return 0;
}
Объяснение:
Этот код измеряет время доступа к кэшу до и после того, как "жертва" может выполнить код, извлекая, использовался ли кэш другим процессом — основная идея многих микроархитектурных атак.
Микроархитектурные каналы представляют собой уникальную и все более критическую угрозу для информационной безопасности в эпоху многоядерных и облачных вычислений. В отличие от традиционных сетевых побочных каналов, эти атаки используют сложное распределение физических аппаратных ресурсов. Область быстро развивается, и каждый специалист должен понимать как основные, так и продвинутые аспекты.
Основные моменты:
perf), усиление ОС и принципы программирования для обнаружения и защиты.Для критически важных сред безопасности — облаков, браузеров, криптографических приложений — внимание к микроархитектурной безопасности больше не является опцией.
Эта статья предназначена для образовательных целей. Всегда следуйте этическим нормам и местным законам при проведении исследований в области безопасности.
Если вы нашли этот контент ценным, представьте, чего вы могли бы достичь с нашей комплексной 47-недельной элитной обучающей программой. Присоединяйтесь к более чем 1200 студентам, которые изменили свою карьеру с помощью техник Подразделения 8200.