image

Spectre-variant maakt datadiefstal via netwerk mogelijk

vrijdag 27 juli 2018, 11:41 door Redactie, 5 reacties

Wetenschappers van de Graz University of Technology in Oostenrijk hebben een Spectre-variant ontwikkeld waarbij het mogelijk is om data van systemen op een netwerk te stelen, zonder dat een aanvaller code op deze systemen hoeft uit te voeren.

Echt snel is de NetSpectre-aanval echter niet, met een snelheid van 3 tot 60 bits per uur. Bij de oorspronkelijke Spectre-aanvallen moest een aanvaller eerst code op het systeem van het doelwit zien uit te voeren. Dat is in het geval van de NetSpectre-variant niet meer nodig. De onderzoekers hebben hun aanval gedemonstreerd op lokale netwerken en tussen virtual machines in de Google Cloud. Om de aanval uit te voeren moet er in de code die op het aangevallen systeem draait zogeheten Spectre-gadgets aanwezig. Dit zijn codefragmenten die bepaalde operaties uitvoeren.

Zodra een systeem netwerkinterfaces of API's met een Spectre-gadget blootstelt, kunnen die via NetSpectre worden aangevallen en is het mogelijk om willekeurig geheugen over het netwerk uit te lezen. De aanvaller hoeft alleen een aantal aangepaste requests naar het doelwit te sturen en de tijd te meten om een geheime waarde uit het geheugen van het aangevallen systeem te lekken. Aangezien de aanval maximaal 60 bits aan data per uur kan opleveren, kan het dagen duren voordat encryptiesleutels of tokens zijn gestolen, zo meldt The Register.

Toch stellen de onderzoekers dat NetSpectre een grote verschuiving is ten opzichte van de eerste Spectre-aanvallen. Niet alleen is NetSpectre op afstand uit te voeren, ook lopen veel meer en meer soorten apparaten risico. "Er moet nu ook rekening met Spectre-aanvallen worden gehouden op apparaten die geen code van de aanvaller draaien", aldus de conclusie van het onderzoeksrapport (pdf). Verder stellen de onderzoekers dat NetSpectre ook te gebruiken is om de beveiligingsmaatregel address-space layout randomization te verslaan. Red Hat komt vandaag met meer informatie over de aanval. Systemen die updates tegen de eerdere Spectre-aanvallen hebben ontvangen zijn ook beschermd tegen NetSpectre, aldus Intel.

Reacties (5)
27-07-2018, 13:14 door Anoniem
zonder dat een aanvaller code op deze systemen hoeft uit te voeren.
Als ik het goed begrijp zit het onderscheid niet in het uitvoeren van code maar in het zelf introduceren van de uitgevoerde code op het aangevallen systeem. De aanval weet legitieme code die al aanwezig is op het systeem te activeren en neveneffecten van branch prediction die daarbij optreden op afstand waar te nemen.
27-07-2018, 15:08 door Krakatau
Aangezien de aanval maximaal 60 bits aan data per uur kan opleveren, kan het dagen duren voordat encryptiesleutels of tokens zijn gestolen, zo meldt The Register.

Alleen wanneer je exact zou weten welk stukje geheugen op afstand uit te lezen. Als je dat niet weet dan is dit in de praktijk geen aanvalsvector.
27-07-2018, 18:10 door Anoniem
Het zijn toch grote bedrijven, die chips-bouwers. Waar de besten van de besten werken. En veel ook. Heeft er nou niet eentje tussen gezeten die op de scrummmmeeting van maandagmorgen wou zeggen, misschien is dit ontwerpje een beetje link? Allemaal een diploma, maar niemand met verstand, inzicht of creativiteit? Of ehhh, gewoon iets sufs als verantwoordelijkheidsgevoel?
28-07-2018, 11:31 door Anoniem
Door Anoniem: Het zijn toch grote bedrijven, die chips-bouwers. Waar de besten van de besten werken. En veel ook. Heeft er nou niet eentje tussen gezeten die op de scrummmmeeting van maandagmorgen wou zeggen, misschien is dit ontwerpje een beetje link? Allemaal een diploma, maar niemand met verstand, inzicht of creativiteit? Of ehhh, gewoon iets sufs als verantwoordelijkheidsgevoel?
Scrum? Als ze processoren met agile methoden ontwerpen in plaats van heel diepgaand (en dus heel traag) alle consequenties van een ontwerp door te denken is verklaart dat alleen al waarom dit soort fouten erin blijken te zitten. ;-)

Hoog in de organisatie zitten competitieve ondernemers, slagvaardige types die een heel andere mentaliteit hebben dan de bedachtzame techneut. Even wat karikaturaal neergezet probeert een bedachtzaam iemand alle problemen vooraf te onderkennen en te voorkomen, terwijl een slagvaardig type pas in een probleem gelooft als het ook echt blijkt op te treden en dat dat het beste moment is om er rekening mee te gaan houden. De bedachtzame techneut doet vanuit het slagvaardige perspectief moeilijk en ziet onnodig beren op de weg.

De spanning tussen die mentaliteiten kom je overal tegen, Intel zal geen uitzondering zijn. En omdat de slagvaardige, competitieve types omhoog vallen in een organisatie bepalen zij het beleid. En dan krijg je vanzelf dat er mensen zijn die wel problemen voorzien maar die niet gehoord worden. Dit is een mooi voorbeeld van iets dat je in allerlei organisaties bij allerlei onderwerpen kan zien gebeuren, en dat in dit geval helemaal niet zo makkelijk achteraf even bij te schaven is als de slagvaardige types graag geloven.
30-07-2018, 14:11 door Anoniem
Ik vermoed nog iets anders dan de slagvaardige persoon zonder relevante kennis van de gevaren als oorzaak.

Ik denk dat er al van voor 2001 kwaad opzet in het spel is geweest van kringen rond de Amerikaanse inlichtingendiensten.
Wat is er mooier dan het om- en ontgaan van encryptie door voorspellende soft- en hardware, waarover zij alleen hoopten te beschikken en met kennis die niet mocht prolifereren, maar het toch deed (Snowden, Assange, Decentralisatiebeweging).

Nu de kat hoog in de gordijnen zit en blijkt dat ook de keuzen van Diffie en Hellman niet de juiste waren destijds en je op verkeerd geconfigureerd WeirdPress al kat in het bakkie bent voor deze krachten, welke verklaring wil je dan nog zoeken?

Mede gezien het feit dat het buiten een aanstaande gigantische cyberramp niemand echt eens iets ingrijpends wil verbeteren aan het model "dubbel vergiet" voor enkelen, waar de gebruiker denkt een dichte pan in handen te hebben. Als je na een trekkie aan een peuk dood viel van een sigaret rookte er toch niemand. Maar na dertig jaar? Zo zit de mens in elkaar en dat wisten deze krachten bliksems goed.

Zo is het gedaan, zo is ieder op het verkeerde been gezet. Zie het nog maar weer eens terug te draaien.

Veertien jaar in website security, geloof ik niet dat dat echt ooit nog gebeurt.

We zijn met zijn allen om het op z'n plat Brabants te zeggen door deze inrichters van Internet flink "opgenaaid".
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.