In een meesterwerk van gecoördineerde onthulling hebben Intel, Microsoft, Red Hat en een groep academische onderzoekers gisteren (14 augustus) tegelijkertijd de wereld op de hoogte gebracht van drie ernstigere Intel CPU-fouten die de komende jaren van invloed kunnen zijn op de computer.
De eerste van de drie bugs heet L1TF (L1 Terminal Flaw) of Foreshadow, afhankelijk van wie je het vraagt, en de andere twee komen daaruit voort, maar we zullen ze kortheidshalve gezamenlijk bespreken.
Net als de Spectre- en Meltdown-kwetsbaarheden, hebben de L1TF/Foreshadow-fouten te maken met speculatieve uitvoering, een proces waarin moderne CPU's een voorsprong nemen door te raden of, nou ja, vooraf te voorspellen wat hun volgende stappen zullen zijn.
Het goede nieuws is dat de meeste consumenten- en werkplekmachines worden getroffen door slechts een of twee van deze fouten, en dat firmware- en besturingssysteemupdates die al door hardware- en softwareleveranciers zijn geleverd (het meest significant door Microsoft gisteren) alle drie grotendeels zullen verminderen. Wat u moet doen, is ervoor zorgen dat uw besturingssystemen gepatcht blijven en de firmware-updates van uw hardwareleverancier implementeren.
Het slechte nieuws is dat cloudservers, die de backend vormen voor veel smartphone-apps en smart-home-apparaten, zwaar worden getroffen door de derde fout, en de oplossing kan de responstijden van duizenden internetgebaseerde services vertragen.
Bovendien zijn al deze oplossingen voor bestaande chips eigenlijk alleen maar pleisters. Intel zegt dat de nieuwe Cascade Lake-chips die voor Kerstmis uitkomen, immuun zullen zijn voor speculatieve uitvoeringsaanvallen, maar de problemen zullen niet echt achter ons liggen totdat alle momenteel getroffen Intel-CPU's zijn uitgefaseerd en vervangen door een nieuwe generatie.
MEER: Meltdown and Spectre: hoe u uw pc, Mac en telefoon kunt beschermen
De L1TF/Foreshadow-fouten werden begin januari privé bekendgemaakt aan Intel, net nadat Spectre en Meltdown openbaar waren gemaakt, door onderzoekers van de Katholieke Universiteit Leuven in België, en een paar weken later opnieuw door een gecombineerd team van de Universiteit van Michigan, Het Israëlische Technion Israel Institute of Technology, de Universiteit van Adelaide en de onderzoeksgroep Data61 van de Australische overheid.
Nadat dit verhaal voor het eerst was gepubliceerd, nam Intel contact met ons op met deze verklaring: "L1 Terminal Fault wordt verholpen door microcode-updates die eerder dit jaar zijn uitgebracht, in combinatie met bijbehorende updates voor besturingssysteem- en hypervisorsoftware die vanaf vandaag beschikbaar zijn."
Hoe de gebreken werken
Alle drie de fouten hebben betrekking op ongeautoriseerde toegang tot de L1-cache, een klein beetje geheugen dat in moderne CPU's is ingebouwd om snel toegang te krijgen tot gegevens. De CPU's houden bij wat zich waar bevindt in de L1-cache door paginatabellen te gebruiken, en om tijd te besparen en vooruit te komen in de CPU-snelheidsrace, raden ze waar bepaalde stukjes gegevens zich in de paginatabel bevinden zonder het echt zeker te weten, en handelen op dat voorgevoel. Als het vermoeden onjuist is (en dat is meestal niet het geval), dan worden de gegevens als "terminalfout" aangemerkt en weggegooid.
Deze fout maakt het mogelijk voor een kwaadaardig proces dat in de gebruikersruimte wordt uitgevoerd om de terminalfoutgegevens te bekijken net voordat ze worden weggegooid. Als het lang genoeg wacht, kan het schadelijke proces genoeg weggegooide informatie verzamelen om veel van wat zich in de L1-cache bevindt, opnieuw te creëren.
Er zijn verschillende YouTube-video's die het allemaal uitleggen, maar de drie minuten durende video van Red Hat (er is een langere die bijna 11 minuten duurt) vat dit misschien het beste samen.
De eerste fout, die de "juiste" L1TF/Foreshadow-fout is en de referentienaam CVE-2018-3615 heeft gekregen, is van invloed op Intel's Software Guard Extensions (SGX), een functie in alle Skylake-, Kaby Lake- en Coffee Lake-processors - in feite alle Intel-CPU's die sinds medio 2015 zijn uitgebracht - die virtuele veilige enclaves in hardloopgeheugen creëren.
SGX sluit bepaalde processen af van de rest van het besturingssysteem, zodat malware-infecties, zelfs die met hoge privileges, ze niet kunnen bereiken. Het wordt gebruikt voor toepassingen en processen die zware beveiliging vereisen, hoewel het ontwikkelen voor SGX tijdrovend is en er niet veel consumententoepassingen lijken te zijn die hiervan profiteren.
Een aanvaller kan deze fout gebruiken om speculatieve uitvoering te misbruiken door de threads te volgen die naar SGX-processen leiden en vervolgens de SGX-enclave elders in het geheugen te repliceren. Ondanks het feit dat SGX-processen zijn gecodeerd, moeten ze worden gedecodeerd voordat ze kunnen worden gebruikt door de L1 CPU-geheugencache, en het is op dat moment dat de eerste L1TF-kwetsbaarheid ze blootlegt.
De tweede fout, CVE-2018-3620 of Foreshadow-NG deel 1, beïnvloedt besturingssystemen rechtstreeks door informatie uit hun kernels te lezen, en niet alleen Windows, maar ook macOS en de verschillende smaken van Linux. Het is van invloed op vrijwel alle Intel Core- en Xeon-processors die sinds ongeveer 2008 zijn uitgebracht.
Zoals al opgemerkt, heeft Microsoft verschillende Windows-beperkingen uitgebracht en de grote Linux-distributies hebben ook patches beschikbaar gesteld. Zoals gebruikelijk blijft Apple voorlopig moeder, maar het is een goede gok dat het bedrijf al op de zaak is.
De derde fout, CVE-2018-3646 of Foreshadow-NG deel 2, is misschien wel de belangrijkste en treft virtuele machines (VM's), die onafhankelijke instanties zijn van besturingssystemen die op dezelfde computer draaien.
U kunt geneste virtuele machines uitvoeren op pc's, bijvoorbeeld door een virtuele Windows-machine in macOS of Linux uit te voeren. Op een server werken virtuele machines over het algemeen parallel en worden ze bestuurd door een poppenkastprogramma dat een hypervisor wordt genoemd. De lijn tussen de twee is nogal vaag, aangezien Parallels op Mac en VMWare-desktopsoftware technisch gezien hypervisors zijn.
Intel suggereert dat alleen door hypervisors bestuurde VM's op servers kwetsbaar zijn, terwijl Microsoft suggereert dat sommige consumentenmachines dat zouden kunnen zijn.
Omdat virtuele machines op één machine de hardware moeten delen, maakt deze derde fout het voor een proces dat in één VM draait mogelijk om toegang te krijgen tot geheugen dat door een andere VM wordt gebruikt. Dat is een nee-nee, omdat het betekent dat malware op de eerste VM informatie van de andere kan stelen. Erger nog, de fout maakt het mogelijk voor kwaadaardige processen om in de paginatabellen van de hypervisor te komen.
Je zou niet willen dat je Slack-discussiechats in het Netflix-account van iemand anders terechtkomen, maar omdat beide bedrijven Amazon's AWS-cloudservers gebruiken, zou dat theoretisch kunnen gebeuren. (Amazon nam contact met ons op nadat dit verhaal voor het eerst was gepubliceerd om te verduidelijken dat AWS-servers waren gepatcht tegen deze fouten voordat ze openbaar werden gemaakt.)
Intel's oplossing voor de derde fout maakt de L1-geheugencache leeg bij het schakelen tussen VM's en voorkomt het maken van kwaadaardige paginatabellen. Maar het kan ook nodig zijn om een snelheidsverhogend proces uit te schakelen dat bekend staat als hyperthreading, dat twee virtuele processorkernen maakt uit één fysieke.
Wanneer een oplossing verwachten?
De echte oplossing komt met Intel's Cascade Lake, die eind 2022-2023 wordt uitgebracht, die zogenaamd architecturen zal hebben die uitbuiting op basis van de Meltdown-, Spectre- en L1TF/Foreshadow-families van kwetsbaarheden zullen voorkomen. Maar gezien de snelheid waarmee nieuwe speculatieve uitvoeringsfouten worden onthuld, houden we onze adem niet in.
Afbeelding: ForeshadowAttack.eu/Public domain
Windows 10 Beveiliging en netwerken
- Vorige tip
- Volgende tip
- Gebruik het ouderlijk toezicht van Windows 10
- Vind uw MAC-adres
- Verander uw Windows-pc in een wifi-hotspot
- Een map beveiligen met een wachtwoord
- Maak een gastaccount in Windows 10
- Windows Hello-vingerafdrukaanmelding inschakelen
- Windows Hello-gezichtsherkenning instellen
- Hoe Cortana's altijd aanwezige luisteren in Windows 10 te beperken
- Vergrendel uw pc automatisch met Dynamic Lock
- Niet-Windows Store-apps op de zwarte lijst zetten
- Zoek opgeslagen wifi-wachtwoorden
- Een gemeten internetverbinding instellen
- Gebruik Zoek mijn apparaat
- Xbox One-games streamen
- Alle Windows 10-tips
- Een netwerkschijf toewijzen
- Beperkte gebruikersaccounts maken
- Tijdslimieten instellen voor kinderen
- Zet mensen vast aan uw taakbalk