Apakah PC Anda Memerlukan Pembaruan Untuk Memerangi Kerentanan Pagi?

Kerentanan prosesor yang baru ditemukan berpotensi menempatkan informasi aman pada risiko di PC berbasis Intel yang diproduksi sejak 2008. Ini dapat memengaruhi pengguna yang mengandalkan fitur kotak kunci digital yang dikenal sebagai Intel Software Guard Extensions, atau SGX, serta mereka yang menggunakan layanan berbasis cloud umum.

"Selama pengguna menginstal pembaruan, mereka akan baik-baik saja."

Peneliti mengidentifikasi lubang keamanan SGX, yang disebut Foreshadow, pada bulan Januari dan memberi tahu Intel. Itu membuat Intel menemukan potensi yang lebih luas di cloud. Varian kedua ini, Foreshadow-NG, menargetkan lingkungan virtualisasi berbasis-Intel yang digunakan penyedia komputasi awan seperti Amazon dan Microsoft untuk menciptakan ribuan PC virtual pada satu server besar.

Intel telah merilis pembaruan perangkat lunak dan mikrokode untuk melindungi terhadap kedua jenis serangan. Penyedia Cloud perlu menginstal pembaruan untuk menjaga mesin mereka. Pada tingkat individu, pemilik setiap PC Intel berkemampuan SGX yang diproduksi sejak 2016 memerlukan pembaruan untuk melindungi SGX mereka. Beberapa pembaruan ini akan diinstal secara otomatis sementara yang lain perlu dipasang secara manual, tergantung pada konfigurasi mesin.

Para peneliti akan menunjukkan cacat pada 16 Agustus di Simposium Keamanan Usenix di Baltimore. Ini mirip dengan Specter and Meltdown, serangan berbasis perangkat keras yang mengguncang dunia keamanan komputer di awal 2018. Peneliti mampu memecahkan beberapa fitur keamanan yang ada di sebagian besar mesin berbasis Intel.

“Foreshadow-NG dapat merusak properti keamanan mendasar yang banyak diberikan oleh layanan berbasis cloud.”

“SGX, lingkungan virtualisasi, dan teknologi serupa lainnya mengubah dunia dengan memungkinkan kami menggunakan sumber daya komputasi dengan cara baru, dan untuk menempatkan data yang sangat sensitif di awan — rekam medis, cryptocurrency, informasi biometrik seperti sidik jari,” kata Ofir Weisse, asisten penelitian mahasiswa pascasarjana dalam ilmu komputer dan teknik di University of Michigan dan penulis kertas untuk muncul di Usenix. "Itu adalah tujuan yang penting, tetapi kerentanan seperti ini menunjukkan betapa pentingnya untuk melanjutkan dengan hati-hati."


Dapatkan Yang Terbaru Dari Diri Sendiri


Fitur Ekstensi Penjaga Perangkat Lunak bahwa target serangan demonstrasi Foreshadow tidak digunakan secara luas saat ini. Karena hanya segelintir penyedia cloud dan beberapa ratus ribu pelanggan menggunakannya, itu terbengkalai di sebagian besar komputer yang dilengkapi dengan itu, dan mesin-mesin itu tidak rentan pada saat ini. Konon, para peneliti mengingatkan bahwa ancaman akan tumbuh dengan penggunaan produk.

“Selama pengguna menginstal pembaruan, mereka akan baik-baik saja. Dan faktanya, sebagian besar pemilik PC tidak menggunakan SGX, jadi tidak mungkin menjadi masalah besar saat ini, ”kata rekan penulis Thomas Wenisch, seorang profesor ilmu komputer dan teknik di University of Michigan. “Bahaya sebenarnya terletak di masa depan, jika SGX menjadi lebih populer dan masih ada sejumlah besar mesin yang belum diperbarui. Itulah mengapa pembaruan ini sangat penting. ”

SGX dan Foreshadow-NG

SGX membuat lockbox digital yang disebut "enklave aman" di mesin, menjaga data dan aplikasi di dalam terisolasi dari sisa mesin. Bahkan jika kerentanan keamanan mengganggu seluruh mesin, data yang dilindungi oleh SGX seharusnya tetap tidak dapat diakses oleh semua orang kecuali pemilik data.

Foreshadow-NG memecahkan dinding digital yang membuat PC virtual pelanggan cloud individu terisolasi satu sama lain di server besar.

Aplikasi utama dari SGX adalah untuk memungkinkan pemrosesan dan penyimpanan informasi sensitif, seperti informasi bisnis eksklusif atau data kesehatan, di pusat data pihak ketiga yang jauh di mana bahkan karyawan pusat data tidak dapat mengakses data yang dilindungi. SGX juga dapat mengontrol distribusi konten digital yang dilindungi hak cipta, misalnya membuat film hanya dapat dilihat di mesin tertentu.

Foreshadow merusak lockbox SGX, memungkinkan penyerang untuk membaca dan memodifikasi data di dalamnya. Meskipun ini bukan serangan pertama untuk menargetkan SGX, ini adalah yang paling merusak sejauh ini.

“Pekerjaan sebelumnya bisa mendapatkan beberapa data beberapa waktu. Foreshadow mendapatkan sebagian besar data sebagian besar waktu, ”kata rekan penulis Daniel Genkin, asisten profesor ilmu komputer dan teknik. “Selain membaca data, Foreshadow juga mengekstrak apa yang disebut kunci atestasi. Kunci itu memungkinkan penyerang untuk menyamar sebagai mesin aman dan mengelabui orang agar mengirim data rahasia ke situ. ”

Varian kedua, Foreshadow-NG, memecah dinding digital yang membuat PC virtual pelanggan cloud individu terisolasi satu sama lain di server besar. Ini dapat mengaktifkan mesin virtual jahat yang berjalan di awan untuk membaca data milik mesin virtual lainnya. Kode virtualisasi hadir di setiap komputer berbasis Intel yang diproduksi sejak 2008.

“Foreshadow-NG dapat merusak properti keamanan mendasar yang banyak diberikan layanan berbasis cloud,” kata rekan penulis Baris Kasikci, asisten profesor ilmu komputer dan teknik.

Bagaimana serangannya bekerja

Kedua varian dari akses kerentanan akses ke mesin korban menggunakan apa yang dikenal sebagai serangan saluran samping. Serangan-serangan ini menyimpulkan informasi tentang cara kerja internal sebuah sistem dengan mengamati pola dalam informasi yang tampaknya tidak berbahaya — berapa lama waktu yang diperlukan prosesor untuk mengakses memori mesin, misalnya. Ini dapat digunakan untuk mendapatkan akses ke cara kerja bagian dalam mesin.

Serangan itu kemudian membingungkan prosesor sistem dengan mengeksploitasi fitur yang disebut eksekusi spekulatif. Digunakan di semua CPU modern, kecepatan eksekusi spekulatif diproses dengan memungkinkan prosesor untuk menebak apa yang akan diminta untuk dilakukan selanjutnya dan merencanakannya sesuai.

Serangan itu memberi informasi palsu yang mengarahkan eksekusi spekulatif ke serangkaian tebakan yang salah. Seperti pengemudi yang mengikuti GPS yang rusak, prosesor menjadi putus asa. Kebingungan ini kemudian dieksploitasi untuk menyebabkan mesin korban membocorkan informasi sensitif. Dalam beberapa kasus, itu bahkan dapat mengubah informasi tentang mesin korban.

Sementara kerentanan ini muncul sebelum menyebabkan kerusakan besar, mereka mengekspos kerapuhan kantung aman dan teknologi virtualisasi, kata Ofir Weisse, asisten peneliti mahasiswa pascasarjana yang terlibat dalam pekerjaan. Dia percaya bahwa kunci untuk menjaga teknologi tetap aman adalah dengan membuat desain terbuka dan dapat diakses oleh peneliti sehingga mereka dapat mengidentifikasi dan memperbaiki kerentanan dengan cepat.

Peneliti lain dalam proyek ini berasal dari grup riset Belgia imec-DistriNet; Technion Israel Institute of Technology; dan Universitas Adelaide dan Data61.

Dukungan untuk pekerjaan berasal dari Dana Penelitian KU Leuven, pusat penelitian keamanan cyber Technion Hiroshi Fujiwara, Biro Siber Israel, National Science Foundation, Departemen Perdagangan AS, Institut Standar dan Teknologi Nasional, 2017-2018 Rothschild Postdoctoral Fellowship , dan DARPA.

Informasi lebih lanjut tentang Foreshadow tersedia di ForeshadowAttack.com.

Sumber: University of Michigan

Buku terkait

{amazonWS: searchindex = Buku; kata kunci = Kerentanan Komputer; maxresult = 3}

enafarzh-CNzh-TWnltlfifrdehiiditjakomsnofaptruessvtrvi

ikuti InnerSelf di

facebook-icontwitter-iconrss-icon

Dapatkan Terbaru Dengan Email

{Emailcloak = off}

DARI EDITOR

Hari Perhitungan Sudah Datang Untuk GOP
by Robert Jennings, InnerSelf.com
Partai Republik tidak lagi menjadi partai politik pro-Amerika. Ini adalah partai pseudo-politik tidak sah yang penuh dengan radikal dan reaksioner yang menyatakan tujuannya adalah untuk mengganggu, membuat tidak stabil, dan ...
Mengapa Donald Trump Bisa Menjadi Pecundang Terbesar dalam Sejarah
by Robert Jennings, InnerSelf.com
Diperbarui 2 Juli 20020 - Pandemi virus korona ini menghabiskan banyak uang, mungkin kekayaan 2 atau 3 atau 4, semua ukuran tidak diketahui. Oh ya, dan, ratusan ribu, mungkin satu juta, orang akan mati ...
Blue-Eyes vs Brown Eyes: Bagaimana Rasisme Diajarkan
by Marie T. Russell, InnerSelf
Dalam episode Oprah Show 1992 ini, aktivis dan pendidik anti-rasisme pemenang penghargaan Jane Elliott mengajarkan kepada para peserta pelajaran keras tentang rasisme dengan menunjukkan betapa mudahnya mempelajari prasangka.
Perubahan akan datang...
by Marie T. Russell, InnerSelf
(30 Mei 2020) Sewaktu saya menonton berita tentang peristiwa-peristiwa di Philadephia dan kota-kota lain di negeri ini, hati saya ingin apa yang terjadi. Saya tahu bahwa ini adalah bagian dari perubahan besar yang terjadi ...
Sebuah Lagu Dapat Mengangkat Hati dan Jiwa
by Marie T. Russell, InnerSelf
Saya memiliki beberapa cara yang saya gunakan untuk membersihkan kegelapan dari pikiran saya ketika saya menemukannya telah merayap masuk. Salah satunya adalah berkebun, atau menghabiskan waktu di alam. Yang lainnya adalah diam. Cara lain adalah membaca. Dan satu itu ...