MDS-уязвимость процессоров Intel | Введение
Грандиозная скидка на процессор Intel Core i3 9100F
14 мая 2019 года корпорация Intel раскрыла информацию об обнаружении новой уязвимости, основанной на спекулятивном исполнении команд, которая затрагивает практически все процессоры компании, выпущенные с 2008 года, за исключением чипов 8-го и 9-поколения, в которых, по утверждению Intel, есть аппаратные средства противодействия.
Новый класс уязвимостей, получивший название Microarchitectural Data Sampling (MDS), основан на технологии спекулятивного исполнения команд, призванной предсказывать тип ожидаемых приложением данных для повышения производительности. Уязвимость позволяет злоумышленникам локально исполнять код, извлекающий критически важные данные, которые во всех прочих случаях защищены на уровне архитектуры процессора. Новой уязвимости, которая получила неофициальное название ZombieLoad, присвоены сразу четыре CVE-идентификатора:
- CVE-2018-12126 Microarchitectural Store Buffer Data Sampling (MSBDS)
- CVE-2018-12130 Microarchitectural Fill Buffer Data Sampling (MFBDS)
- CVE-2018-12127 Microarchitectural Load Port Data Sampling (MLPDS)
- CVE-2019-11091 Microarchitectural Data Sampling Uncacheable Memory (MDSUM)
MDS-уязвимость процессоров Intel | Как работает ZombieLoad
В отличие от уязвимостей Meltdown и Spectre, когда данные извлекаются из кэш-памяти процессора, ZombieLoad позволяет проникать во внутренние буферы заполнения, хранения, а также портам загрузки, которые используются для повышения производительности обработки данных, и в результате получать доступ к недавно используемым данным.
Для перехвата данных может использоваться вредоносное приложение или внедрённый в веб-страницу код JavaScript, отправляющий множественные запросы и тем самым перегружающий процессор данными. В целях защиты от сбоев чип задействует внутренние буферы, а из-за перегрузки снимается ограничение для конкретных приложений, в частности, нарушается структура потоков Hyper-Threading, в результате чего открывается доступ ко всем данным, с которыми работает процессор.
Теоретически ZombieLoad способна получать любые данные — от ключей шифрования до данных банковских карт и платёжных систем, при этом особую опасность представляет тот факт, что подобные атакам подвержены не только аппаратные ПК, но и виртуальные машины в облачной среде. При этом поскольку низкоуровневые атаки требуют особого рода квалификации, они происходят чрезвычайно редко. Intel и её партнёры, изучавшие уязвимость и готовившие исправления микропрограммы, заявляют, что пока не зафиксировано ни одного случая атак с использованием MDS-уязвимости.
MDS-уязвимости подвержены практически все процессоры Intel начиная с архитектуры Sandy Bridge (представлены в 2011 году) и более новые, включая Atom. Исключение — Whiskey Lake (обновление ULT) и Whiskey Lake (десктопные). Чипы AMD, а также ARM-процессоры, включая модели от Apple, уязвимости ZombieLoad не подвержены.
MDS-уязвимость процессоров Intel | Обновлённый микрокод
Обновлённый микрокод с защитой от ZombieLoad доступен партнёрам и клиентам Intel, подробнее о статусе обновлений можно узнать здесь. Этот код автоматически очищает данные из буферов памяти процессора всякий раз, когда он перегружается данными.
В Intel сообщают, что для защиты от уязвимостей на основе спекулятивного исполнения команд, Microsoft и другим разработчикам операционных систем, а также самой Intel потребуется внести серьёзные изменения в программное обеспечение. Предлагаемое решение предполагает очистку буферов процессора при переключении на программу, которой не доверяет ранее обрабатываемое ПО.
К примеру, всякий раз, когда процессор переключается с одного приложения третьих разработчиков на другое, с процесса Windows на стороннее приложение или даже от одного менее доверенного процесса Windows на другой, более доверенный, буферы должны быть очищены или перезаписаны. Скорее всего, добавление такой процедуры приведёт к снижению производительности, а насколько оно будет заметным, пока сказать затруднительно.
MDS-уязвимость процессоров Intel | Intel рекомендует отключение Hyper-Threading. Или нет?
Внесение подобных дополнений серьёзно скажется на работе системы многопоточных вычислений Hyper-Threading. Потребуется более высокий уровень изоляции потоков и они больше не смогут работать с процессами разных классов безопасности — такие потоки будут просто замораживаться, что приведёт к потере производительности.
Судя по всему, в случае любых атак с использованием технологий спекулятивного исполнения команд, Hyper-Threading становится либо менее безопасной, либо более медленной. Поскольку работа над выявлением аппаратных уязвимостей обычно идёт в течение нескольких месяцев, а то и лет, уже не кажется странным постепенный отказ Intel от технологии Hyper-Threading в некоторых процессорах последних поколений, даже несмотря на обострившуюся конкуренцию с AMD по числу ядер и потоков.
В Intel всегда не соглашались с предложением некоторых специалистов отключать Hyper-Threading в качестве меры защиты от некоторых ранее обнаруженных уязвимостей, но сегодня в корпорации заявляют, что это может в целом гарантировать неуязвимость в MDS-атаках. При этом они до сих пор не рекомендуют всем пользователям отключать Hyper-Threading, но лишь в особых случаях. В частности, после обновления микрокода отключение Hyper-Threading для полной гарантии неуязвимости, может потребоваться, когда клиент не уверен в использовании доверенного программного обеспечения и технологии Simultaneous Multi-Threading (SMT). Тогда в Intel рекомендуют дополнительно проконсультироваться с поставщиком операционной системы или виртуальной машины.
MDS-уязвимость процессоров Intel | Программные решения
Похоже, что одним из таких избранных клиентов стала Google, которая объявила на сайте Chromium, что для защиты пользователей от MDS-уязвимости в Chrome OS 74 технология Hyper-Threading будет по умолчанию отключена. При этом для большинства разница в производительности будет практически незаметной.
Chrome OS с отключённой Hyper-Threading
В Microsoft ещё 14 мая выпустили критические обновления KB4494441 для Windows 10 версии 1809 и KB4500109 для Windows 10 билда 1903 (см. поиск по Каталогу Центра обновления http://www.catalog.update.microsoft.com) и по обыкновению порекомендовала установить все доступные системные обновления.
Apple выпустила обновление 10.14.5 операционной системы macOS Mojave 10.14.5 для всех компьютеров компании, произведённых после 2011 года, а также патчи для более ранних версий macOS X Sierra и High Sierra.
Грандиозная скидка на процессор Intel Core i3 9100F
Ядро Linux получила защиту от MDS-уязвимости в обновлении 5.1.2, аналогичные обновления появились и во всех популярных дистрибутивах.
