Nyt sidechannel-sikkerhedshul i Intel-processorer
Et nyt sidechain-hul i en stor mængde Intel-processorer er blevet afsløret af en række forskere, blandt andet fra Graz-universitetet i Østrig, der også bidrog til afsløringen af Spectre og Meltdown. Forskere fra firmaet Bitdefender har medvirket til de nye afsløringer.
Forskerne har offentliggjort deres resultater i en videnskabelig artikel.
Load Value Injection (LVI) er en ny klasse af angreb, som udnytter fejl i processorers mikroarkitektur til at indsætte angriberens data i offerets program. På den måde er det muligt at stjæle følsomme data og nøgler fra Intel SGX, som er en sikker databoks i Intel-processorer.
Forskerne skriver, at LVI vender tidligere angrebsteknikker som Meltdown mv. på hovedet, og sætter eksisterende forsvar mod side chain-angreb ud af spillet. I stedet for at data lækkes direkte fra offeret til angriberen, går LVI den anden vej.
Forskerne smugler så at sige angriberens data gennem skjulte buffere i processoren ind i et program hos offeret, og kaprer midlertidigt udførelsen for at tilegne sig følsom information, såsom offerets biometriske fingeraftryk eller adgangskoder.
Intel tager det helt køligt og giver den nye angrebsvektor karakteren 'middel.' I en meddelelse skriver firmaet, at man har frigivet opdateringer til SGX Platform Software (PSW) og SDK (udviklingsværktøjer) i går.
SDK'et indeholder en vejledning til, hvorledes LVI-truslen imødegås. For slutbrugere anbefaler firmaet, at det sikres, at den seneste Intel SGX PSW 2.7.100.2-software eller senere for Windows og Linux er installeret.
Der er mere information på forskernes hjemmeside.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
