Группа исследователей из Грацского технического университета (Австрия), ранее известная разработкой техники атаки NetSpectre (https://www.opennet.ru/opennews/art.shtml?num=49032) и метода (https://www.opennet.ru/opennews/art.shtml?num=48591) эксплуатация уязвимости в DRAM-памяти через локальную сеть, продемонстрировала (https://assert.pub/papers/1902.03256) (PDF (https://arxiv.org/pdf/1902.03256v1.pdf)) метод скрытия вредоносного кода при помощи изолированных анклавов Intel SGX и организации контроля за основной системой из выполняемого в анклаве кода, в обход накладываемых анклавом ограничений.
Напомним, что технология SGX (Software Guard Extensions (https://en.wikipedia.org/wiki/Software_Guard_Extensions)) появилась в процессорах Intel Core шестого поколения (Skylake) и предлагает (https://www.opennet.ru/opennews/art.shtml?num=44667) серию инструкций, позволяющих выделять приложениям пользовательского уровня закрытые области памяти - анклавы, содержимое которых не может быть прочитано и изменено даже ядром и кодом, выполняемым в режимах ring0, SMM и VMM. Передать управление коду в анклаве невозможно традиционными функциями перехода и манипуляциями с регистрами и стеком - для передачи управления в анклав применяется специально созданная новая инструкция, выполняющая проверку полномочий. При этом помещённый в анклав код может применять классические методы вызова для обращения к функциям внутри анклава и специальную инструкцию для вызова внешних функций. Для защиты от аппаратных атак, таких как подключение к модулю DRAM, применяется шифрование памяти анклава.Сложилось мнение, что размещение вредоносного кода в анклаве не представляет опасности, так как взаимодействие с внешним миром из анклава производится только через связанное приложение (инициатором вызовов является внешнее приложение), а код в анклаве изолирован от внешней системы, в том числе для него запрещён прямой доступ к внешней памяти и запрещены операции ввода-вывода. Тем не менее, группа исследователей нашла способ обойти ограничения штатного процесса запуска кода в анклаве и проверки по цифровым подписям, предоставляемых SGX-инструментарием Intel (https://www.opennet.ru/opennews/art.shtml?num=44667). Найденный способ позволяет обойти ограничения, налагаемые контролирующей безопасность прослойкой, такие как доступ к памяти процессов и системным вызовам, и запустить из анклава код под прикрытием хост-процесса с доступом ко всем ресурсам компьютера.
Предложенный метод может применяться для скрытия вредоносной логики в анклаве или размещения в анклаве эксплоитов для атак на уязвимые приложения. Размещённый в анклаве вредоносный код становится недоступен для анализа из операционной системы и антивирусных приложений, но при этом может контролировать работу всей системы. При этом состояние внешнего окружения не вызывает подозрений - в основной ОС выполняются только легитимные программы, которые не содержат явно определённых вредоносных функций.
Для организации работы вредоносной логики в окружении операционной системы применяется метод возвратно-ориентированного программирования (ROP, Return-Oriented Programming). Суть метода в том, что для формирования вредоносной логики используется существующий легитимный код обычных приложений и библиотек. Атакующий оперирует уже имеющимися в библиотеках кусками машинных инструкций, завершающихся инструкцией возврата управления (как правило, это окончания библиотечных функций). Работа вредоносной вставки сводится к построению цепочки вызовов подобных блоков ("гаджетов") для получения нужной функциональности. Используя готовые блоки машинных инструкций (гаджеты) можно организовать достаточно сложные операции, в том числе организовать работу условных операторов и циклов.
Для доступа к памяти процесса из анклава оказалась эффективной техника TAP (TSX-based Address Probing), использующая процессорные инструкции TSX (Transactional Synchronization eXtensions) для определения виртуальных адресов, доступных для текущего процесса. Обнаружение кода в памяти позволяет выявить в нём "гаджеты" и построить цепочку их вызова для обеспечения нужной логики. Для совершения атаки остаётся инициировать передачу управления на построенную цепочку, но для этого требуется определить доступный на запись блок внешней памяти, чтобы сохранить в нём фиктивный кадр стека и разместить связанные с атакой данные (payload).
Для поиска доступных на запись областей применяется расширенный вариант техники TAP, получивший название CLAW (Checking Located Addresses for Writability). Метод основан на формировании транзакции TSX с подстановкой операций записи и её отмены после попытки записи. Доступность на запись определяется на основании возвращённого транзакцией кода возврата. Отмечается, что описанная техника SGX-ROP эффективно обходит такие методы защиты как ASLR, "канареечные" метки в стеке и детекторы ошибок при работе с памятью (address sanitizer (https://en.wikipedia.org/wiki/AddressSanitizer)).URL: https://www.theregister.co.uk/2019/02/12/intel_sgx_hacked/
Новость: https://www.opennet.ru/opennews/art.shtml?num=50135
атакующий оперирует уже имеющимися в libc кусками машинных инструкций...
Запретить LIBC!!!!1
Rust в массы
я бы вообще запретил машинные инструкции. с их помощью чего только творят
Касперский уже выпустил обновление - Kaspersky Security cо встроенным
фаерволом машинных инструкций. Предоставляется два режима работы: Smart и Manual.
В режиме Manual каждая машинная инструкция подтверждается пользователем.
а в режиме auto каждая машинная инструкция не выполняется, но из динамика раздается хрюкот свнсбк.
(в корпоративной версии не выполняется только примерно каждая пятая инструкция)
Опять же, имеются ли подтверждённые случаи массового использования этой (и аналогичных) уязвимостей? Шапочку-то из фольги надевать?
Нормальные параноики давно уже не используют шапочки из фольги. Это выглядит нелепо как показ мод. Нормальные параноики делают подкладку из фольги к традиционным головным уборам.
Я скажу больше в современных пуховиках на подкладке так же делают такую же подкладку. Видимо кто то, что то, знает.
Кто, то, что, то.;
Уром деньги - вечером стулья.
Через пол года, не раньше. Хотя в массы может и не дойдёт, останется у спецслужб.
Учитывая, что в данном случае эффективная шапочка представляет собой простое выключение sgx - её можно было бы надеть и раньше. И совершенно не зря
чаво один человек выключил - другой завсегда обратно включить может.
> чаво один человек выключил - другой завсегда* обратно включить может.[*] Супермен и Столман могут восстанавливать пережигаемые перемычки в процессорах Штеуд. АНБ пока только пытается. " Кац только ранен. "
Эээ, что? Каким образом *отключение* SGX сделает что-то безопаснее? Наоборот, судя по новости - лишитесь обычно работающего механизма защиты, который теоретически, при некоторых обстоятельствах, возможно, кто-то сможет сломать. В случае взлома вы лишаетесь защиты SGX в данном анклаве, т.е. для этого приложения это и будет эквивалентно тому, как если бы SGX не было или он был выключен.Ваш совет эквивалентен "ой, нашли очередную дырку в TLS (из соседней новости)! Какой ужас, какая дыра, всем вырубать TLS, ходить только по plaintext протоколам, такая дыра же!"
Другое дело, что, к сожалению, практического использования SGX в обычном софте все равно не было. Технология так и осталась в основном в фантазиях Intel. Так что тут - что включай, что выключай, все одно..
> Наоборот, судя по новости - лишитесь обычно работающего механизма защиты,DRM означает "Defender (of the) Right(s) Mechanism"?
И "защиты от аппаратных атак, таких как подключение к модулю DRAM" нужно на самом деле против злобных хакеров, незаметно взломавших дверь/окно и подключивших свой жучок к модулю DRAM?Вот оно как! Воистину -- "век живи, век учись, все равно дураком помрешь"
>> Наоборот, судя по новости - лишитесь обычно работающего механизма защиты,
> DRM означает "Defender (of the) Right(s) Mechanism"?Причем тут вообще DRM?
Читайте http://ina.kaist.ac.kr/~dongsuh/paper/kim-hotnets2015.pdf и другие практические примеры использования. Например, чтобы при использовании TOR обезопасить себя от атак.
> Причем тут вообще DRM?это кому-то пытаются намекнуть, что не все, на чем написано "защщщита" защищает тебя - иногда оно может вместо этого защищать интересы чужого дяди, потому что он первым встал в твои тапки.
>>> Наоборот, судя по новости - лишитесь обычно работающего механизма защиты,
>> DRM означает "Defender (of the) Right(s) Mechanism"?
> Причем тут вообще DRM?При том, что слабо верится, будто аппаратная защита (контроллер памяти в сабже так же фильтрует DMA-запросы периферии, если мне не совсем изменяет память) поможет _действительно_ защититься от "недобросовестного" хостера/облако-провайдера, вне вакуумно-сферических сценариев (это помимо того, что в домашних условиях оно нафиг не сдалось).
А вот защитить "ценный контент индустрии" от простого пользователя -- в самый раз.
Спасибки, но лично мне из "новшеств" последних 10 лет и IntelME вместе с UEFI-сикур-бутом как-то за глаза хватает.
Притом что посмотрите новость про взлом Widewine - там было про то, что взломали самую слабую его вариацую, которая НЕ требует наличия в процессоре SGX и подобных ему технологий.Когда Интелл только добавил SGX в процессоры было много красивых слов про заищиту приватности пользователя, борьбу с хакерами, а свелось все к помощи в реализации DRM. Так что никому кроме правообладателей оно не нужно, не гвооря уж о тмо что сипользование SGX вроде как требует платной лицензии от Intel
Зачем хакер. Персонал сайта может подключиться к любым модулям DRAM на любом сервере.
> Зачем хакер. Персонал сайта может подключиться к любым модулям DRAM на любом сервере.А персонал ресторана может подсыпать яд в солонку -- поэтому нужно срочно сделать все (в том числи и домашние) солонки с дозатором, односторонник клапаном, кодово-биометрическим замком и опломбированным устройством учета пользователей и обслуживающего персонала (кто, когда, сколько миллиграм, в какое блюдо, какой рукой) со сроком хранения данных не менее 10 лет.
А еще, персонал ресторана может просто плюнуть в тарелку …(если что -- персонал сайта с таким доступом может сделать бяку еще целой кучей более простых методов).
>> Зачем хакер. Персонал сайта может подключиться к любым модулям DRAM на любом сервере.
> А персонал ресторана может подсыпать яд в солонку -- поэтому нужно срочно
> сделать все (в том числи и домашние) солонки с дозатором, односторонник
> клапаном, кодово-биометрическим замком и опломбированным устройством учета пользователей
> и обслуживающего персонала (кто, когда, сколько миллиграм, в какое блюдо, какой
> рукой) со сроком хранения данных не менее 10 лет.Есть решение проще: ходить в случайный макдак, что успешно делает Трамп. И никто не отравит.
> Есть решение проще: ходить в случайный макдак, что успешно делает Трамп. И никто не отравит.дружище, ты когда-нибудь был в _американском_ макдаке?
если тебя там никто не отравил, значит ты в ужасе выскочил вон, ничего не купив.
>> Есть решение проще: ходить в случайный макдак, что успешно делает Трамп. И никто не отравит.
> дружище, ты когда-нибудь был в _американском_ макдаке?
> если тебя там никто не отравил, значит ты в ужасе выскочил вон,
> ничего не купив.Так он даже в рекламе макдака снимался :)
https://www.businessinsider.com/donald-trump-unhealthy-diet-...
Да не нужен это SGX, это всё для DRMщиков делали, как и TPM типа в проце, следующим шагом добавят в браузеры и плееры поддержку и будет платный просмотр с привязкой к железу.
Вообще-то в браузерах поддержка уже есть. В релизных версиях.
> Вообще-то в браузерах поддержка уже есть. В релизных версиях.Где, что??
Набираю "firefox sgx" в гугле, ничего осмысленного не находится. Т.е. эксперименты были - например тут https://acmccs.github.io/papers/p2405-frassettoA.pdf ребята завернули SpiderMonkey в JIT, но подобный код не вошел даже в dev ветки, не говоря уж о релизах.
Отключая SGX, мы не отключаем "защиту в анклаве", а анклав вообще, не давая возможность всякому непотребству себя скрывать. Вообще, я не считаю, что он нужен в каких-то еще областях, кроме drm и прочих попыток пролезть поглубже на железо пользователя
> Отключая SGX, мы не отключаем "защиту в анклаве", а анклав вообще, не
> давая возможность всякому непотребству себя скрывать. Вообще, я не считаю, что
> он нужен в каких-то еще областях, кроме drm и прочих попыток
> пролезть поглубже на железо пользователяЯ тоже так думал, но в процессе обсуждения погугил и нашел несколько документов с полезными примерами использования: http://ina.kaist.ac.kr/~dongsuh/paper/kim-hotnets2015.pdf (изоляция в TOR; безопасный роутинг в SDN) и https://acmccs.github.io/papers/p2405-frassettoA.pdf (защита JIT-компилятора в firefox от атаки, которую можно сделать из JS-кода и управлять тем, какой код будет JIT создавать при компиляции всего остального JS в том же браузере). Почитайте, любопытно. Да, при использовании SGX есть оверхед (дополнительные инструкции + там еще шифрование внутри), но в теории это все реальные применения, повышающие безопасность. Теряя несколько процентов производительности, но не так много.
Правда, в практическом софте это все равно, видимо, отсутствует.
просто не покупай процы с поддержкой TSX-NI, она далеко не у каждого есть.
и выключать ничего не придется.
> Опять же, имеются ли подтверждённые случаи массового использования этой (и аналогичных)
> уязвимостей?дык, опять же - те кто тебя попользуют, не расскажут. А готового к копипастингу в свой эксплойт кода - нет, пока не пробегало.
А что технология стремная и плохих ее применений просчитывается больше, чем хороших - это любому, кроме дефективного менеджера интела и так было понятно с самого начала :-(> Шапочку-то из фольги надевать?
надевай, но пока можешь однослойную - в виду малораспространенности камней, поддерживающих sgx, пока мало риска нарваться на универсальный эксплойт, автовыкачиваемый sshным червяком на ходу, скорее - на целевую атаку именно на твой локалхост, если там есть что взять.
А как будут такие камни у каждого васяна - тут уже фольга не поможет, кастрюлю надо. Ручки только не забудь отпилить - а то будешь выглядеть как дурак.
Не сказал бы, что скайлейков мало, впрочем, один хрен до виндузятников раньше долетит, там и посмотрим, что за шапочки нужны.
Скайлейков-то может и хватает. И даже удобные API есть: https://github.com/intel/linux-sgx
Но видели ли вы хоть одну софтину, которая это бы использовала? Что под виндой, что под линуксом?
А если эта софтина окажется возможной на JS ? То можно и не заметить, как в браузер залетит.
о том и речь - велики шансы, что ТЫ эту софтину и не увидишь. Зато она тебя увидит.
Если долго (не)смотреть на софтину то однажды софтина может посмотреть на тебя.
(с) мудрец Плюнь В Куй. Древний Кетай, 100500й век до нашей эры.
Я - не видел, но я вообще крайне консервативен в выборе софта. А вот какой-нибудь DRM может и использовать.
> закрытые области памяти - анклавы, содержимое которых не может быть прочитано и изменено даже ядром и кодом, выполняемым в режимах ring0, SMM и VMM.так что вы не узнаете имеют вас или нет. спасибо intel и drm.
Все срочно посмотрели ещё раз в сторону ARM CPU...
... брезгливо поморщились и снова повернулись к х86.
> ... брезгливо поморщилисьУгу.
> и снова повернулись к х86.
Зачем? :)
>Зачем? :)Сам жри свой эльбрус.
>Сам жри свой эльбрус.Таблеточки примите.
Там нет кеша, нет потоков, а в некоторых и спекулятива?
> нет потоковВот и хорошо. Когда тебе продают проц АМД и говорят, что там 4 ядра - значит там 4 ядра, а не 2, которые притворяются четырьмя.
>> нет потоков
> Вот и хорошо. Когда тебе продают проц АМД и говорят, что там
> 4 ядра - значит там 4 ядра, а не 2, которые
> притворяются четырьмя.Да?..
То-то купив APU A10-7800 за $200 (пишу по памяти, может чуть другая модель была, но один из старших Kaveri) с 4 заявленными ядрами и увидев производительность при загрузке всех 4 на уровне где-то 2.5 - 3 ядер, покопался и узнал, что на самом деле там всего два полноценных "вычислительных модуля" и почти все блоки, кроме базового целочисленного (т.е. FPU, SSE, AVX, ну и MMX заодно) существуют только в одном экземпляре для каждой пары ядер. Вот такие вот дутые ядра. И это еще мне повезло, в предыдущих Bulldozer и Piledriver даже декодер инструкций был общий на каждые два ядра. Т.е. вот это https://en.wikipedia.org/wiki/File:AMD_Bulldozer_block_diagr... гордо называлось "парой ядер" и в (якобы) 4-х ядерном процессоре только два таких блока.
Вы знаете какого-либо другого производителя x86 процессоров, который так же мухлевал с ядрами?
На AMD даже в суд за это подавали, между прочим: https://www.extremetech.com/extreme/217672-analysis-amd-laws...
Ну фиг знает, что у вас то по производительности, но подход и правда хитрый. Другой вопрос, что много ли у вас в стандартном коде ОСи задействован fpu? (и тогда вопрос - на кой?)
> Ну фиг знает, что у вас то по производительности, но подход и
> правда хитрый. Другой вопрос, что много ли у вас в стандартном
> коде ОСи задействован fpu? (и тогда вопрос - на кой?)Поправил пост. Там не только FPU, но и SSE и AVX тоже общие! И целочисленный MMX. Все общее, кроме базового целочисленного модуля - хоть этот они поставили свой на каждое ядро. Если бы не сделали даже этого, оставались только бы раздельные регистры и это бы назвалось HT или SMT :) Но AMD называла это полноценными "ядрами".
А что касается "много ли где используются инструкции"... Тут ситуация такая, что обычно там, где не используются ни FPU, ни SSE, ни MMX, ни AVX производительность обычно-то и не нужна. Но замечу что даже memcpy() в glibc давно уже переписан на AVX, а при его отсутствии будет стараться брать SSE-версию. Даже куски памяти перемещать намного эффективнее блоками по 256 бит (или хотя бы по 128), чем по 64. Ну и вся криптография и распространенные хэш-функции (в т.ч. даже такие базовые вещи, как CRC32 - нужен, между прочим, очень много где даже в ядре) быстрее с этими инструкциями. Про мультимедию даже не заикаюсь.
На голом ALU быстро работать будут разве что вещи типа раздачи веб-контента. И то, memcpy/memmove/memset на AVX или SSE не помешают даже им. Вот эти функции https://github.molgen.mpg.de/git-mirror/glibc/tree/master/sy... с использованием SIMD в 2-3 раза быстрее, чем на ALU..Кстати, по последним новостям (долго, однако, такие дела в суде идут, 4 года прошло) это дело таки признают, т.к. возражения AMD отвергли, и им придется серьезно заплатить за свои фейковые ядра: https://www.theregister.co.uk/2019/01/22/judge_green_lights_.../
Хороший будет прецедент, жирнота дезы ибо запредельная.
Как хорошо, что на e2k ядра и впрямь полноценные.
Вот только его пользователи неполноценные. :)))
> Ну фиг знает, что у вас то по производительности, но подход и правда хитрый. Другой вопрос, что
> много ли у вас в стандартном коде ОСи задействован fpu?много. Я в отличие от вас помню времена, когда эмуляцию еще можно было выключить (а железный в моей 386 ни разу предусмотрен не был). Ну я был молодой и глупый, а вы уже можете просто подумать головой и угадать, что именно у вас произошло бы если бы по сей день так можно было сделать, без необходимости в натурном эксперименте?
> (и тогда вопрос - на кой?)
подумайте, если есть, чем ;-)
Ты ARM от AMD вообще отличаешь?
> Ты ARM от AMD вообще отличаешь?Лошок, расскажи подробно отличия работы функции strncasecmp() на ARM и AMD?
> Вы знаете какого-либо другого производителя x86 процессоров, который так же мухлевал с ядрами?Все ARM big.LITTLE
>> Вы знаете какого-либо другого производителя x86 процессоров, который так же мухлевал с ядрами?
> Qualcomm, у всех ведь смарты 8-ядерные? :DНо я про x86... *Вне* x86 такое бывало. Например в тех же Niagara (UltraSPARC T1) у 8 ядер было 8 целочисленных блоков и один FPU. Но там во-первых производитель про это явно заявлял и не предлагал брать во все задачи, а только в те, где FPU был не особенно нужен (веб-серверы, серверы БД, ERP, CRM - традиционно в серверах БД и финансовой сфере не используют FPU-вычисления с погрешностью, а считают на больших целых). А во-вторых, на SPARC FPU это всего лишь FPU, а тут AMD в общий блок с FPU поставила все SIMD, в т.ч. целочисленные типа MMX. А они на x86 очень важны. И возможностью перемалывать 128-и и 256-и битные операции за раз, и дополнительными регистрами, которых в x86 вечно не хватает.
> Например в тех жеIBM Cell BE, одно ядро Power отрезано под внутренние нужды.
https://www.youtube.com/watch?v=vCodnn0HOyI
Зато есть TrustZone
новость не об архитектуре, как таковой.
суть в том, что intel сделала по мне так ненужную вещь, наличие которой может привести к огроменным проблемам и тратам.наверняка в каком-нибудь из обновлений микрокода вот это вот все можно будет отключить.
> новость не об архитектуре, как таковой.
> суть в том, что intel сделала по мне так ненужную вещь, наличие
> которой может привести к огроменным проблемам и тратам.
> наверняка в каком-нибудь из обновлений микрокода вот это вот все можно будет
> отключить.Да и так можно отключить в биосе обычно. Во всех видел опцию "Intel SGX: Enabled/Disabled/Software Controlled"
Кроме того, инструкции SGX и так практически полностью реализованы в микрокоде, кроме шифрования памяти.
Нельзя. Ибо это база для долгосрочного прибыльного сотрудничества с копирастами.
Там зондов тоже хватает. Всякие trust zone и иже с ними. Может быть взлетит risc-v, но сделать свободной архитектуру не значит сделать её прозрачной для потребителя.
В risc-v тоже начали впиливать TEE в спецификацию.
там вроде пилили точно такую же технологию? (trust zone это не о том, туда нет доступа "из js". ну, по крайней мере, пока нет ;)
Повторение старой саги с спектрумом-васиком и trdos-ом. Там тоже переход из одного в другой, т.е. флипанье пзух в одном адресном пространстве строго по заданным адресам происходил. Но страждующие живо разыскали в кошерных адресах команду RET... Ну а делать JUMP-ы посредством RET-ов в те годы даже начинающие кодопейсатели умели.Ничему не учит людей история.
Ну, там это для хороших дел использовали: создать десяток резервных копий дискетки. :-)
вот кто бы мог знать, что наворачивание дополнительных слоёв защиты даёт больше уязвимых точек? нет, определённо никто.
.PNG){kind=link}