WIRED’a yaptığı bir arka plan açıklamasında AMD, Sinkclose’u istismar etmenin zorluğunu vurguladı: Bu güvenlik açığından yararlanmak için bir bilgisayar korsanının, bilgisayarın çekirdeğine, yani işletim sisteminin çekirdeğine zaten erişime sahip olması gerekir. AMD, Sinkhole tekniğini, bir bankanın alarmlarını, muhafızlarını ve kasa kapısını çoktan atlattıktan sonra, bankanın kasalarına erişmek için kullanılan bir yönteme benzetiyor.
Nissim ve Okupski, Sinkclose’u istismar etmenin bir makineye çekirdek düzeyinde erişim gerektirdiğini, ancak bu tür güvenlik açıklarının Windows ve Linux’ta neredeyse her ay ortaya çıktığını söylüyor. Sinkclose’u istismar edebilecek türden, gelişmiş devlet destekli bilgisayar korsanlarının, bilinen veya bilinmeyen bu güvenlik açıklarını istismar etmek için muhtemelen zaten tekniklere sahip olduğunu savunuyorlar. Nissim, “İnsanlar şu anda tüm bu sistemler için çekirdek istismarlarına sahipler,” diyor. “Bunlar mevcut ve saldırganlar için kullanılabilir. Bu bir sonraki adım.”
IOActive araştırmacıları Krzysztof Okupski (solda) ve Enrique Nissim.Fotoğraf: Roger Kisby
Nissim ve Okupski’nin Sinkclose tekniği, AMD yongalarının TClose olarak bilinen belirsiz bir özelliğini kullanarak çalışır. (Sinkclose adı, aslında, TClose teriminin 2015’te Intel yongalarında bulunan daha önceki bir Sistem Yönetim Modu açığının adı olan Sinkhole ile birleştirilmesinden gelir.) AMD tabanlı makinelerde, TSeg olarak bilinen bir güvenlik önlemi, bilgisayarın işletim sistemlerinin Sistem Yönetim Modu için ayrılması gereken korumalı bir bellek bölümüne yazmasını önler; Sistem Yönetim Rastgele Erişim Belleği veya SMRAM olarak bilinir. Ancak AMD’nin TClose özelliği, etkinleştirildiğinde diğer bellekleri bu SMRAM adreslerine yeniden eşleyerek, bilgisayarların SMRAM ile aynı bellek adreslerini kullanan eski aygıtlarla uyumlu kalmasını sağlamak için tasarlanmıştır. Nissim ve Okupski, yalnızca işletim sisteminin ayrıcalık düzeyiyle, TClose yeniden eşleme özelliğini kullanarak, SMM kodunun kurcaladıkları verileri almasını sağlayabileceklerini ve bu sayede işlemciyi yeniden yönlendirip aynı yüksek ayrıcalıklı SMM düzeyinde kendi kodlarını yürütmesini sağlayabileceklerini keşfettiler.
Okupski, “Sanırım bu, şimdiye kadar istismar ettiğim en karmaşık hata” diyor.
İkisi de işlemci yazılımı gibi düşük seviyeli kodların güvenliğinde uzmanlaşmış olan Nissim ve Okupski, AMD’nin mimarisini ilk olarak iki yıl önce araştırmaya karar verdiklerini, bunun nedeninin pazar payı artarken bile Intel ile karşılaştırıldığında yeterli incelemeye tabi tutulmadığını düşünmeleri olduğunu söylüyorlar. Sinkclose’u etkinleştiren kritik TClose uç durumunu, AMD’nin belgelerini okuyup tekrar okuyarak bulduklarını söylüyorlar. Nissim, “Sanırım güvenlik açığının olduğu sayfayı yaklaşık bin kez okudum,” diyor. “Ve sonra bin birde fark ettim.” Geçtiğimiz yılın Ekim ayında AMD’yi bu kusurdan haberdar ettiklerini, ancak AMD’ye bir düzeltme hazırlaması için daha fazla zaman vermek üzere yaklaşık 10 ay beklediklerini söylüyorlar.
Kendilerini korumak isteyen kullanıcılar için, Nissim ve Okupski, Windows makineleri için (muhtemelen etkilenen sistemlerin büyük çoğunluğu) Sinkclose yamalarının bilgisayar üreticilerinin Microsoft ile paylaştığı güncellemelere entegre edilmesini beklediklerini ve Microsoft’un bunları gelecekteki işletim sistemi güncellemelerine dahil edeceğini söylüyor. Sunucular, gömülü sistemler ve Linux makineleri için yamalar daha parça parça ve manuel olabilir; Linux makineleri için, kısmen bir bilgisayarın yüklediği Linux dağıtımına bağlı olacaktır.
Nissim ve Okupski, sorunun düzeltilmesi için daha fazla zaman sağlamak amacıyla, önümüzdeki birkaç ay boyunca Sinkclose açığı için herhangi bir kavram kanıtı kodu yayınlamamak konusunda AMD ile anlaştıklarını söylüyorlar. Ancak, AMD veya diğerlerinin Sinkclose’u açığını istismar edilmesi çok zor olarak küçümseme girişimlerine rağmen, bunun kullanıcıların mümkün olan en kısa sürede yama yapmasını engellememesi gerektiğini savunuyorlar. Karmaşık hackerlar tekniklerini çoktan keşfetmiş olabilir veya Nissim ve Okupski bulgularını Defcon’da sunduktan sonra nasıl yapacaklarını çözebilirler.
Sinkclose nispeten derin erişim gerektirse bile, IOActive araştırmacıları, sunduğu çok daha derin kontrol seviyesinin, potansiyel hedeflerin mevcut herhangi bir düzeltmeyi uygulamak için beklememesi gerektiği anlamına geldiği konusunda uyarıyor. Nissim, “Temel kırılırsa,” diyor, “o zaman tüm sistemin güvenliği kırılır.”