Bulut sağlayıcıları, kullanıcı verilerini güvende tutmak için donanım tabanlı bellek şifrelemesine güvenir. Bu şifreleme, şifreler, finansal kayıtlar ve bilgisayar korsanlarından ve meraklı içeriden gelen kişisel dosyalar gibi hassas bilgileri korur.
Intel SGX ve AMD SEV-SNP gibi önde gelen teknolojiler, bir bulut ana bilgisayarının veya yöneticisinin tehlikeye atılsa bile şifrelenmiş verilerin korunmasını sağlamak için tasarlanmıştır.
Pathing Ram adlı yeni bir saldırı, bu korumaların 50 dolardan daha düşük maliyetli küçük bir donanım eklentisi ile yenilebileceğini gösteriyor.
Araştırmacılar, işlemci ve bellek modülü arasına uyan küçük bir kartı düşük maliyetli bir aracı geliştirdiler.
Sistem başlatma sırasında, bu aracı normal davranır ve yerleşik tüm güvenlik kontrollerini geçer. İşletim sistemi ve bulut platformu belleğin güvenli olduğunu düşündükten sonra, saldırgan aracı üzerinde gizli bir anahtar etkinleştirebilir.
Bu noktadan itibaren, cihaz şifreli bellek isteklerini saldırgan kontrollü konumlara sessizce yönlendirerek veri bozulmasını veya tespiti yapmadan tekrar oynatmasını sağlıyor.
Saldırı nasıl çalışır
- Gizli girişim: Interposer, önyükleme sırasında şeffaf kalır ve sistemin bellek şifreleme anahtarlarını ve kurulum rutinlerini doğrulamasına izin verir.
- Kötü amaçlı modu tetiklemek: Önyüklemeden sonra saldırgan basit bir donanım anahtarını çevirir. Interposer daha sonra, korumalı bellek sayfalarının saldırgan arabelleğine işaret etmesi için adres meta verilerini yeniden yazar.
- CipHerText yakalama: Saldırgan takma arabelleğini okuyarak güvenli enklavlara veya sanal makinelere ait şifreli verileri yakalar.
- Tekrar saldırı saldırısı: Daha sonra, Interposer yeniden yapılandırılır, böylece saldırganın kendi yerleşimi kurbanın fiziksel adresini işgal eder. Yakalanan şifre metni tekrarlanır ve işlemciyi saldırganın bağlamında şifresini çözmeye ve yürütmeye zorlar.
- Düz metin maruziyeti: Gizli kalması gereken şifre çözülmüş veriler, saldırganın yerleşim bölgesinde görünür. Bu işlem, Intel SGX veya AMD SEV-SNP tarafından korunan bellek bölgelerine tam okuma veya yazma erişim sağlar.
Intel ve AMD savunmaları üzerindeki etkisi
- Intel SGX: Intel CPU’lardaki güvenli enklavlar içindeki kodu ve verileri korumak için tasarlanmıştır. Ram Battering Bypass, şifreleme metnini bir saldırganın yerleşimine yeniden oynayarak yerleşim izolasyonu yapar.
- AMD SEV-SNP: AMD EPYC işlemcileri üzerinde çalışan sanal makineleri güvence altına almayı amaçlamaktadır. Saldırı, SEV-SNP’nin VM bellek özgünlüğünü doğrulamak için kullandığı bütünlük kontrollerini ve uzaktan onaylamayı bozar.
Her iki durumda da, istismar işletim sisteminin ve hipervizörün altında çalışır ve bu da onu yazılım savunmaları için görünmez hale getirir. Bulut müşterileri ve sağlayıcıları veri hırsızlığı, manipülasyon veya sistem çökmelerine maruz kalır.
Test etmek için kullanılan ticari bellek aracı tipik olarak 100.000 doların üzerindedir. Buna karşılık, Müfettiş Ram Interposer, raf dışı analog anahtarlar ve 50 doların altında üretilebilen dört katmanlı bir PCB kullanır.
Tüm şemalar ve tasarım dosyaları herkese açıktır ve kötü niyetli aktörlerin bu tekniği benimseme riskini artırır.
Intel ve AMD araştırma bulgularını kabul ettiler, ancak Hırpat Ram’ını tam olarak ele almanın bellek şifreleme protokollerinin yeniden tasarlanmasını gerektirdiğini unutmayın. Olası savunmalar şunları içerir:
- Bellek meta verilerine kriptografik bütünlük kontrolleri eklenmesi.
- Sadece önyüklemede değil, sistem çalışma zamanı boyunca bellek eşlemeyi doğrulamak.
- Beklenmedik meta veri değişiklikleri konusunda uyaran kurcalamaya uygun donanımın tanıtılması.
Bu tür değişiklikler gelecekteki işlemcilerde görünene kadar, bulut kullanıcıları tehdit modellerine fiziksel bellek saldırılarını hesaba katmalı ve kritik iş yüklerini korumak için çok partili bellek şifrelemesi veya gerçek zamanlı donanım onaylaması gibi ek korumaları düşünmelidir.
Anında güncellemeler almak ve GBH’yi Google’da tercih edilen bir kaynak olarak ayarlamak için bizi Google News, LinkedIn ve X’te takip edin.