Spectre-variant maakt datadiefstal via netwerk mogelijk
Wetenschappers van de Graz University of Technology in Oostenrijk hebben een Spectre-variant ontwikkeld waarbij het mogelijk is om data van systemen op een netwerk te stelen, zonder dat een aanvaller code op deze systemen hoeft uit te voeren.
Echt snel is de NetSpectre-aanval echter niet, met een snelheid van 3 tot 60 bits per uur. Bij de oorspronkelijke Spectre-aanvallen moest een aanvaller eerst code op het systeem van het doelwit zien uit te voeren. Dat is in het geval van de NetSpectre-variant niet meer nodig. De onderzoekers hebben hun aanval gedemonstreerd op lokale netwerken en tussen virtual machines in de Google Cloud. Om de aanval uit te voeren moet er in de code die op het aangevallen systeem draait zogeheten Spectre-gadgets aanwezig. Dit zijn codefragmenten die bepaalde operaties uitvoeren.
Zodra een systeem netwerkinterfaces of API's met een Spectre-gadget blootstelt, kunnen die via NetSpectre worden aangevallen en is het mogelijk om willekeurig geheugen over het netwerk uit te lezen. De aanvaller hoeft alleen een aantal aangepaste requests naar het doelwit te sturen en de tijd te meten om een geheime waarde uit het geheugen van het aangevallen systeem te lekken. Aangezien de aanval maximaal 60 bits aan data per uur kan opleveren, kan het dagen duren voordat encryptiesleutels of tokens zijn gestolen, zo meldt The Register.
Toch stellen de onderzoekers dat NetSpectre een grote verschuiving is ten opzichte van de eerste Spectre-aanvallen. Niet alleen is NetSpectre op afstand uit te voeren, ook lopen veel meer en meer soorten apparaten risico. "Er moet nu ook rekening met Spectre-aanvallen worden gehouden op apparaten die geen code van de aanvaller draaien", aldus de conclusie van het onderzoeksrapport (pdf). Verder stellen de onderzoekers dat NetSpectre ook te gebruiken is om de beveiligingsmaatregel address-space layout randomization te verslaan. Red Hat komt vandaag met meer informatie over de aanval. Systemen die updates tegen de eerdere Spectre-aanvallen hebben ontvangen zijn ook beschermd tegen NetSpectre, aldus Intel.
Alleen wanneer je exact zou weten welk stukje geheugen op afstand uit te lezen. Als je dat niet weet dan is dit in de praktijk geen aanvalsvector.
Hoog in de organisatie zitten competitieve ondernemers, slagvaardige types die een heel andere mentaliteit hebben dan de bedachtzame techneut. Even wat karikaturaal neergezet probeert een bedachtzaam iemand alle problemen vooraf te onderkennen en te voorkomen, terwijl een slagvaardig type pas in een probleem gelooft als het ook echt blijkt op te treden en dat dat het beste moment is om er rekening mee te gaan houden. De bedachtzame techneut doet vanuit het slagvaardige perspectief moeilijk en ziet onnodig beren op de weg.
De spanning tussen die mentaliteiten kom je overal tegen, Intel zal geen uitzondering zijn. En omdat de slagvaardige, competitieve types omhoog vallen in een organisatie bepalen zij het beleid. En dan krijg je vanzelf dat er mensen zijn die wel problemen voorzien maar die niet gehoord worden. Dit is een mooi voorbeeld van iets dat je in allerlei organisaties bij allerlei onderwerpen kan zien gebeuren, en dat in dit geval helemaal niet zo makkelijk achteraf even bij te schaven is als de slagvaardige types graag geloven.
Ik denk dat er al van voor 2001 kwaad opzet in het spel is geweest van kringen rond de Amerikaanse inlichtingendiensten.
Wat is er mooier dan het om- en ontgaan van encryptie door voorspellende soft- en hardware, waarover zij alleen hoopten te beschikken en met kennis die niet mocht prolifereren, maar het toch deed (Snowden, Assange, Decentralisatiebeweging).
Nu de kat hoog in de gordijnen zit en blijkt dat ook de keuzen van Diffie en Hellman niet de juiste waren destijds en je op verkeerd geconfigureerd WeirdPress al kat in het bakkie bent voor deze krachten, welke verklaring wil je dan nog zoeken?
Mede gezien het feit dat het buiten een aanstaande gigantische cyberramp niemand echt eens iets ingrijpends wil verbeteren aan het model "dubbel vergiet" voor enkelen, waar de gebruiker denkt een dichte pan in handen te hebben. Als je na een trekkie aan een peuk dood viel van een sigaret rookte er toch niemand. Maar na dertig jaar? Zo zit de mens in elkaar en dat wisten deze krachten bliksems goed.
Zo is het gedaan, zo is ieder op het verkeerde been gezet. Zie het nog maar weer eens terug te draaien.
Veertien jaar in website security, geloof ik niet dat dat echt ooit nog gebeurt.
We zijn met zijn allen om het op z'n plat Brabants te zeggen door deze inrichters van Internet flink "opgenaaid".
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
