Ahoi Saldırıları – Kötü Amaçlı Kesintilere Sahip Yeni Saldırı Engelleyici Sanal Makineler

Genellikle gemilerle iletişim kurmakla ilişkilendirilen Ahoy, artık korsan dilinde şakacı bir şekilde benimsendi.

TEE’lerle yapılan arayüz saldırılarına ilişkin araştırmalara saygı duruşunda bulunmak için ‘Iago’nun anagramı olan ‘Ahoi’yi icat ettik.

Güvenilir yürütme olarak da adlandırılan gizli bilgi işlem, genel bulut platformlarındaki hassas hesaplamaları korur.

Donanım satıcıları, kötü niyetli aktörlere karşı kullanıcı kodu ve veri güvenliğini garanti eden güvenilir donanım sağlar.

Ahoi Saldırıları

Bulut sağlayıcıları artık işlem düzeyinde izolasyon için Intel SGX ve Gizli VM’ler (CVM’ler) olarak VM düzeyinde izolasyon için AMD SEV, Intel TDX ve ARM CCA gibi teknolojiler aracılığıyla gizli bilgi işlem sunuyor.

SGX bölgeleri, tek süreçleri diğer işlemlerden/işletim sisteminden izole ederken CVM’ler, diğer kiracıların, sağlayıcının hipervizörler gibi donanım/yazılımlarının erişemeyeceği izole edilmiş VM’lerin tamamının dağıtılmasına olanak tanır.

CVM’ler, SGX’in süreç düzeyindeki modelinden daha iyi bulut tabanlı gizli bilgi işlem soyutlamasına olanak tanır.

CVM’lerde kesinti yönetimi neredeyse tamamen hipervizör tarafından yapılır. CVM güvenliği, bildirimleri kullanan Ahoi saldırıları tarafından ihlal edilebilir.

Hipervizör, CVM’lerin çalışması için gerekli kesintilerin dağıtımını sanallaştırır.

Bu, fiziksel kesintileri yakalar, bunları karşılık gelen sanal makinelere yönlendirir ve sanal kesintileri artırır.

Sonuç olarak, bu CVM içindeki konuk işletim sistemi bu kesintileri işleyicileri aracılığıyla yönetir ve sonuçta bunları onaylar.

Donanım istisnası “x86”da 0’dan 31’e kadar olan kesintilere eşlenir.

Bunun bir örneği, sıfıra bölme işleminin meydana gelmesi ve kesme 0’ı yükseltmesidir; işletim sistemi bunu kullanıcı alanı dağıtımı için SIGFPE’ye dönüştürür.

Özel bir işleyiciye başvurmak, SIGFPE’nin ağırlıksız ortalamasını hesaplamak gibidir.

Ahoi saldırılarında, kötü niyetli kesintiler enjekte etmek için bir hipervizör kullanılarak saldırıya uğrayan sanal CPU’lar bulunur; bu, küresel olarak kesme işleyicilerinin çağrılmasına yardımcı olur.

Ahoi saldırıları, güvenilir hipervizör ortamları için yapılan kesintilerden ve sinyallerden yararlanabilir.

Heckler gibi projeler, CVM’lere yetkisiz erişim elde etmek için AMD SEV-SNP ve Intel TDX’in nasıl ihlal edileceğini gösterdikleri için bunu gösterebilirler.

Üstelik bu tür güvenlik açıkları, AMD SEV’in güvenli hipervizör-CVM iletişimini amaçlayan VMM İletişim İstisnası (#VC) gibi özel kesme arayüzlerine kadar uzanıyor.

Ancak bu arayüz, hipervizörler tarafından CVM’ler tarafından yakalanmadan yürütülen kötü amaçlı görevleri gerçekleştirmek için kullanılabilir.

WeSee, CVM’lerde yasaklanmış şeyler yapmak için AMD SEV-SNP’nin kusurlarından yararlanıyor.

Secure your emails in a heartbeat! To find your ideal email security vendor, Take a Free 30-Second Assessment.