Nyt sidechannel-sikkerhedshul i Intel-processorer

Illustration: Lasse Gorm Jensen
Load Value Injection (LVI) er en ny klasse af angreb, som udnytter fejl i Intel-processorers sikre databoks.

Et nyt sidechain-hul i en stor mængde Intel-processorer er blevet afsløret af en række forskere, blandt andet fra Graz-universitetet i Østrig, der også bidrog til afsløringen af Spectre og Meltdown. Forskere fra firmaet Bitdefender har medvirket til de nye afsløringer.

Læs også: Meltdown og Spectre: Enorme sikkerhedshuller fundet i CPU'er

Forskerne har offentliggjort deres resultater i en videnskabelig artikel.

Load Value Injection (LVI) er en ny klasse af angreb, som udnytter fejl i processorers mikroarkitektur til at indsætte angriberens data i offerets program. På den måde er det muligt at stjæle følsomme data og nøgler fra Intel SGX, som er en sikker databoks i Intel-processorer.

Forskerne skriver, at LVI vender tidligere angrebsteknikker som Meltdown mv. på hovedet, og sætter eksisterende forsvar mod side chain-angreb ud af spillet. I stedet for at data lækkes direkte fra offeret til angriberen, går LVI den anden vej.

Forskerne smugler så at sige angriberens data gennem skjulte buffere i processoren ind i et program hos offeret, og kaprer midlertidigt udførelsen for at tilegne sig følsom information, såsom offerets biometriske fingeraftryk eller adgangskoder.

Intel tager det helt køligt og giver den nye angrebsvektor karakteren 'middel.' I en meddelelse skriver firmaet, at man har frigivet opdateringer til SGX Platform Software (PSW) og SDK (udviklingsværktøjer) i går.

SDK'et indeholder en vejledning til, hvorledes LVI-truslen imødegås. For slutbrugere anbefaler firmaet, at det sikres, at den seneste Intel SGX PSW 2.7.100.2-software eller senere for Windows og Linux er installeret.

Der er mere information på forskernes hjemmeside.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (0)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Log ind eller Opret konto for at kommentere