Onderzoekers vinden kwetsbaarheden in Intel-processoren
Onderzoekers van verschillende universiteiten hebben meerdere kwetsbaarheden in Intel-processoren ontdekt waardoor het mogelijk is om gevoelige gegevens van systemen te stelen, zoals wachtwoorden. De beveiligingslekken worden ZombieLoad, RIDL en Fallout genoemd en zijn aanwezig in alle Intel-processoren die vanaf 2008 zijn gemaakt. Het probleem raakt zowel thuisgebruikers als virtual hosting- en cloudomgevingen
Door thuisgebruikers kwaadaardige JavaScript-code te laten laden, bijvoorbeeld via een advertentie of kwaadaardige website, is het mogelijk om data van het systeem te stelen. In een cloudomgeving kan een aanvaller, als twee gebruikers dezelfde processor-core delen, via zijn virtuele machine informatie uit de andere virtual machine stelen. Op een schaal van 1 tot en met 10 wat betreft de ernst van de kwetsbaarheden zijn die met een 6,5 beoordeeld.
RIDL, wat staat voor Rogue In-Flight Data Load, is door onderzoekers van de Vrije Universiteit en het Helmholtz Center for Information Security (CISPA) ontdekt. Fallout is gevonden door onderzoekers van onder andere KU Leuven en TU Graz. Het zijn zogeheten Microarchitectural Data Sampling (MDS) side-channel-aanvallen. In tegenstelling tot bestaande aanvallen zoals Meltdown en Spectre is het met deze aanvallen mogelijk om willekeurige "in-flight" data uit de interne CPU-buffers te lezen.
De ZombieLoad-aanval, ontdekt door onderzoekers van TU Graz en KU Leuven, maakt het ook mogelijk om gevoelige gegevens te stelen zodra de computer die benadert. Het gaat dan bijvoorbeeld om wachtwoorden, schijfencryptiesleutels en browsegeschiedenis. De onderzoekers hebben een demonstratie gemaakt die laat zien hoe een aanvaller de websites kan monitoren die een Tor-gebruiker in een virtual machine bezoekt.
Maatregelen die Intel en andere partijen tegen eerdere aanvallen hebben genomen blijken onvoldoende te zijn en in sommige gevallen de situatie te verergeren. Zo heeft Intel onlangs maatregelen aan Coffee Lake-processoren toegevoegd om die tegen Meltdown te beschermen. Hierdoor zijn deze processoren juist kwetsbaarder voor de nieuwe aanvallen dan bij oudere processoren het geval is.
De kwetsbaarheden zijn door verschillende onderzoeksteams gevonden, die vervolgens Intel informeerden. Of andere partijen de problemen ook hebben ontdekt en er misbruik van maken weten de onderzoekers niet. "Op dit moment wordt de kwetsbaarheid voor zover bekend nog niet actief misbruikt. De verwachting is echter dat nu de kwetsbaarheid publiek bekend is er getracht wordt om hier misbruik van te maken", zo stelt het Nationaal Cyber Security Centrum (NCSC) van de overheid.
Updates
Intel heeft inmiddels microcode-updates uitgebracht om gebruikers te beschermen. Tevens hebben ook Apple, Microsoft, Oracle, Citrix, Canonical, SUSE en RedHat updates uitgebracht. Volgens Intel hebben de microcode-updates wel impact op de prestaties van het systeem. Apple laat weten dat voor een volledige oplossing het inschakelen van een aanvullende cpu-instructie en het uitschakelen van hyper-threading nodig is. Dit kan voor een prestatieverlies van 40 procent zorgen. Tevens zijn er voor meerdere MacBooks en iMacs uit 2010 geen updates door een gebrek aan microcode-updates van Intel.
Elk nadeel heeft zijn voordeel, leren we in Nederland, maar ook elk voordeel heeft wel een nadeel natuurlijk.
Je kunt de fout er dus gewoon uithalen maar dan heb je prestatieverlies.
Zoals de remweg korter wordt als je minder hard rijdt maar dan duurt je rit langer. Het is maar wat je perse wilt, zou ik denken.
Elk nadeel heeft zijn voordeel, leren we in Nederland, maar ook elk voordeel heeft wel een nadeel natuurlijk.
Je kunt de fout er dus gewoon uithalen maar dan heb je prestatieverlies.
Zoals de remweg korter wordt als je minder hard rijdt maar dan duurt je rit langer. Het is maar wat je perse wilt, zou ik denken.
Dit soort fouten sluipt in hardware als je snelheid belang boven veiligheid belang zet als fabrikant, gedwongen door de concurrentie. De fout zit nu in alle chips van vele pc's en alleen met een lapmiddel als microcode updates kun je de fout ermee maskeren, niet eruit halen.
Totdat daar ook ontwerpfouten boven water komen. Kwestie van tijd.
Intel is marktaandeel leider, deze jongens werken gewoon samen met de NSA.
Hebben we dan echt niets geleerd van Snowden?
Intel is marktaandeel leider, deze jongens werken gewoon samen met de NSA.
Hebben we dan echt niets geleerd van Snowden?
Ik heb ook nog steeds geen refund gezien ivm met die eerdere bug, waar je 10o20% verliest.
Elk nadeel heeft zijn voordeel, leren we in Nederland, maar ook elk voordeel heeft wel een nadeel natuurlijk.
Je kunt de fout er dus gewoon uithalen maar dan heb je prestatieverlies.
Zoals de remweg korter wordt als je minder hard rijdt maar dan duurt je rit langer. Het is maar wat je perse wilt, zou ik denken.
On premise heet te duur te zijn. Het is waar je waarde asn hecht waar je over moet nadenken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
