Onderzoekers van de Vrije Universiteit (VU) Amsterdam hebben een "nieuwe" aanval tegen Intel-processors onthuld waardoor het mogelijk is om allerlei gevoelige informatie zoals wachtwoordhashes van systemen te stelen (pdf). Intel heeft gisteren een beveiligingsupdate voor het lek uitgebracht.

In mei van dit jaar demonstreerden onderzoekers van de VU en het Helmholtz Center for Information Security (CISPA) de RIDL-aanval. RIDL staat voor Rogue In-Flight Data Load en is een Microarchitectural Data Sampling (MDS) sidechannel-aanval. In tegenstelling tot eerdere sidechannel-aanvallen zoals Meltdown en Spectre is het met RIDL mogelijk om willekeurige "in-flight" data uit de interne cpu-buffers te lezen. Het probleem raakt zowel thuisgebruikers als virtual hosting- en cloudomgevingen.

Door thuisgebruikers kwaadaardige JavaScript-code te laten laden, bijvoorbeeld via een advertentie of kwaadaardige website, is het mogelijk om data van het systeem te stelen. In een cloudomgeving kan een aanvaller, als twee gebruikers dezelfde processor-core delen, via zijn virtuele machine informatie uit de andere virtual machine stelen. De onderzoekers waarschuwden Intel, dat in mei met beveiligingsupdates kwam.

"Helaas miste Intel onze ingezonden proof-of-concept exploits (PoCs), waardoor de originele MDS-mitigatie die in mei verscheen RIDL slechts gedeeltelijk verhelpt", zo laten de onderzoekers nu weten. RIDL-aanvallen waren daardoor nog steeds mogelijk, ook al dachten gebruikers dat ze na het installeren van de update beschermd waren. Op verzoek van Intel besloten de onderzoekers dan ook niet alle informatie over RIDL vrij te geven.

In een uitleg op MDSattacks.com geven de onderzoekers nu meer details over de aanval en communicatie met Intel. Vorig jaar september stuurden ze verschillende demonstratie-exploits voor verschillende RIDL-varianten naar Intel, maar kregen geen technische feedback of vragen van de chipgigant. Wel liet Intel weten dat het aan een oplossing werkte.

"Vanwege een gebrek aan transparantie aan de kant van Intel, kregen we op 10 mei 2019, vier dagen voor de openbaarmaking, een volledig beeld van Intels MDS-plannen", aldus de onderzoekers. Die wisten op 11 mei via internet de microcode-updates van Intel te vinden en besloten die te testen. Daaruit bleek dat de updates de gerapporteerde kwetsbaarheden niet volledig verhielpen.

De onderzoekers waarschuwden Intel dat vervolgens vroeg om informatie over de onopgeloste RIDL-problemen pas op 12 november te openbaren. In juli bleek dat Intel de proof-of-concept exploits had gemist, wat verklaarde waarom de eerder uitgebrachte update onvolledig was.

Hoewel Intel nu met een update voor de verschillende aanvallen van de onderzoekers is gekomen, stellen die dat het onderliggende probleem niet is verholpen. RIDL-achtige kwetsbaarheden zullen dan ook niet op korte termijn verdwijnen, zo verwachten ze. "We maken ons met name zorgen over Intels mitigatieplan dat PoC-georienteerd is, met een compleet gebrek aan security-engineering en zonder het onderliggende probleem te onderzoeken, waarbij kleine variaties in proof-of-concept exploits tot nieuwe embargo's leiden, en deze "nieuwe" kwetsbaarheden gedurende lange tijd niet verholpen worden", zo stellen ze.

De onderzoekers voegen toe dat er helaas nog onvoldoende druk vanuit het publiek en industrie is, en er dan ook weinig aanleiding voor Intel is om te veranderen. "En blijft het publiek met een vals gevoel van veiligheid achter. Het opleggen van het ene na het andere lange embargo en het niet openbaar maken van kwetsbaarheden waar te veel mensen van afweten is nog steeds een levensvatbare strategie", besluiten de onderzoekers.

In onderstaande video laten de onderzoekers zien hoe ze binnen dertig seconden de volledige rootwachtwoordhash van het /etc/shadow bestand op Linux kunnen achterhalen.