Представлена новая аппаратная атака на Intel SGX

Группа специалистов Бирмингемского университета разработала новую атаку, способную подорвать конфиденциальность и целостность набора инструкций центрального процессора Intel Software Guard Extensions (SGX) путем манипуляций с подачей электрического напряжения на ядро центрального процессора.

Атака базируется на использовании недорого инструмента под названием VoltPillager, предназначенном для внедрения сообщений в интерфейс SVID (Serial Voltage Identification) между центральным процессором и регулятором напряжения на материнской плате. Как пояснили специалисты, с помощью устройства VoltPillager с открытым исходным кодом можно внедрять пакеты SVID, что позволяет полностью управлять подачей напряжения на ядро ЦП и осуществить атаку fault-injection («атака внесения неисправностей»).

Представленная атака намного мощнее, чем атаки на SGX, базирующиеся на эксплуатации уязвимостей в ПО, такие как Plundervolt . Исследователи, представившие PoC-атаки восстановления ключей на алгоритмы шифрования в SGX, отметили, что VoltPillager может использоваться недоверенным облачным провайдером, имеющим доступ к аппаратному обеспечению.

Как выяснили специалисты, регулятор напряжения на материнской плате регулирует напряжение на ЦП, основываясь на информации, получаемой от SVID, при этом пакеты SVID не проходят криптографическую аутентификацию. Ученые построили плату на базе микроконтроллеров, которая при подключении к SVID позволяла внедрять команды и контролировать напряжение на ЦП. Устройство построено на основе доступной платы Teensy 4.0.

С помощью вышеупомянутого инструмента исследователи смогли осуществить первые атаки, позволившие им подорвать целостность SGX и восстановить закрытые ключи шифрования. Модель атаки предполагает, что злоумышленник имеет полный контроль над BIOS и операционной системой.

Более того, исследователи продемонстрировали, что контрмеры, реализованные Intel для защиты от атаки Plundervolt, не в состоянии предотвратить атаку fault-injection, если злоумышленник имеет физический доступ. Кроме того, они представили новые эффекты, вызываемые понижением напряжения на оборудовании.

«Мы доказали практичность данного вектора атаки для восстановления ключей RSA из анклавного приложения, и показали, что другие фундаментальные операции, такие как умножение и запись в память/кэш, также могут быть нарушены. Это приводит к новым уязвимостям безопасности памяти в SGX, которые не обнаруживаются механизмами защиты памяти SGX», - отмечают исследователи.

Результаты исследования были представлены компании Intel 13 марта 2020 года, но компания не планирует устранять угрозу, поскольку она не включает компрометацию оборудования. Как отметили в компании, патчи для Plundervolt никогда не предназначались для защиты от аппаратных атак.