کشف روش جدید محققان MIT برای دور زدن آخرین تدابیر امنیتی Spectre در پردازنده‌های AMD و Intel

در یک بازه زمانی بسیار کوچک که تنها ده‌ها نانوثانیه طول می‌کشد—معادل اجرای دو دستورالعمل پردازنده—تیمی از محققان MIT راهی برای شکستن دفاعیات تراشه‌های کامپیوتری مدرن پیدا کرده‌اند. دانیل تروخیلو و منگجیا یان از آزمایشگاه علوم کامپیوتر و هوش مصنوعی MIT (CSAIL) یک تکنیک حمله جدید را معرفی کرده‌اند که آخرین تدابیر امنیتی در پردازنده‌های AMD و Intel را دور می‌زند.[1][2]

از سال ۲۰۱۸، صنعت فناوری درگیر یک بازی بی‌پایان با Spectre بوده است؛ دسته‌ای از آسیب‌پذیری‌ها که از «اجرای حدسی» (speculative execution) سوءاستفاده می‌کنند. این فرآیندی است که طی آن CPUهای مدرن حدس می‌زنند نرم‌افزار در مرحله بعد چه کاری انجام خواهد داد و دستورالعمل‌ها را از قبل اجرا می‌کنند تا عملکرد را افزایش دهند. اگر حدس اشتباه باشد، پردازنده کار را کنار می‌گذارد، اما آثاری از آن فعالیت در حافظه نهان (Cache) باقی می‌ماند و به مهاجمان اجازه می‌دهد داده‌های محافظت‌شده را استخراج کنند.[1][2][5]

برای متوقف کردن گونه‌ای که به Spectre v2 معروف است، سازندگان تراشه دفاعیاتی مانند Safe RET شرکت AMD و eIBRS شرکت Intel را معرفی کردند که «پیش‌بینی‌کننده شاخه» (branch predictor) پردازنده را درست قبل از اجرای کد حساس هسته پاک یا ایزوله می‌کنند. فرض ساده بود: اگر حافظه پیش‌بینی‌کننده را تمیز کنید، حدس‌های آلوده مهاجم قبل از اینکه بتوانند آسیبی برسانند، خنثی می‌شوند.[2][3][4]

اما اجرای سخت‌افزاری اغلب نامنظم است و محققان MIT یک نقص پنهان در این فرض مشاهده کردند. لحظه‌ای که پیش‌بینی‌کننده پاک می‌شود و لحظه‌ای که واقعاً توسط پردازنده استفاده می‌شود، دقیقاً یکسان نیستند. یک شکاف میکروسکوپی بین این دو رویداد وجود دارد که محققان آن را «پنجره پس از خنثی‌سازی» (post-neutralization window) می‌نامند.[1][5]

برای باز کردن این پنجره، محققان تکنیکی به نام «تزریق وقفه» (Interrupt Injection) را توسعه دادند که بخشی از یک کلاس حمله گسترده‌تر است که آن را TONTOU (مخفف زمان خنثی‌سازی تا زمان استفاده) نامیدند. با زمان‌بندی وقفه‌های تایمر با فرکانس بالا و دقت نانوثانیه‌ای، یک برنامه کاربری بدون امتیاز می‌تواند هسته را مجبور کند مکث کند و یک کنترل‌کننده وقفه را دقیقاً در داخل آن شکاف کوچک اجرا کند.[2][3][4][6]

هنگامی که مهاجم وارد این شکاف می‌شود، می‌تواند پیش‌بینی‌کننده شاخه را دوباره آلوده کند. دفاع دقیقاً همانطور که طراحی شده بود کار کرد، اما حالت تمیز آن به اندازه کافی دوام نیاورد تا از کد حساس محافظت کند. پردازنده فریب می‌خورد تا مسیر انتخابی مهاجم را به صورت حدسی اجرا کند و دقیقاً همان دری را که قرار بود تدابیر امنیتی ببندند، دوباره باز می‌کند.[1][4]

این قابلیت در دنیای واقعی چقدر خطرناک است؟ محققان یک اکسپلویت کامل و سرتاسری را بر روی یک سیستم AMD Zen ۲ که با هسته استاندارد لینوکس و با فعال بودن تمام تدابیر امنیتی Spectre کار می‌کرد، ساختند. آنها با موفقیت تصادفی‌سازی طرح‌بندی فضای آدرس هسته (ASLR) را شکستند و حافظه محافظت‌شده، از جمله فایل `/etc/shadow` که حاوی هش‌های رمز عبور روت است، را نشت دادند.[2][3][6]

با این حال، این حمله به هیچ وجه سریع نیست. اکسپلویت داده‌ها را با سرعتی در حدود ۵.۴۷ بایت در ثانیه نشت داد. یک تلاش واحد برای مکان‌یابی و استخراج فایل رمز عبور تقریباً ۱۸ دقیقه طول کشید و در پنج مورد از ده اجرای آزمایشی موفقیت‌آمیز بود. این یک حمله بسیار دقیق و کند است، نه یک سرقت سریع و ناگهانی.[2][3][4][5]

شرکت AMD این آسیب‌پذیری را که با شناسه CVE-۲۰۲۶-۶۸۴۸۰ پیگیری می‌شود، تأیید کرده و اعلام نموده که بر پیاده‌سازی لینوکس از تدبیر امنیتی Safe RET آن در پردازنده‌های Zen ۱ تا Zen ۴ تأثیر می‌گذارد. یک پچ که پنجره تزریق وقفه را هدف قرار می‌دهد، قبلاً در هسته لینوکس ادغام شده و در به‌روزرسانی‌های استاندارد سیستم عامل در حال انتشار است.[3][4][6]

پاسخ اینتل شکاف بین تحقیقات آزمایشگاهی و تهدیدات عملی را برجسته می‌کند. در حالی که محققان با موفقیت توانستند پیش‌بینی‌های اشتباه لازم را در پردازنده‌های Intel Cascade Lake Refresh و Arrow Lake ایجاد کنند، اینتل اظهار داشت که بهره‌برداری در دنیای واقعی نیازمند شرایط نرم‌افزاری بسیار خاصی است. این شرکت پاداش اشکال‌یابی (bug bounty) را پرداخت کرد اما در حال حاضر هیچ تدبیر امنیتی اضافی را برنامه‌ریزی نکرده است.[1][5]

کشف TONTOU ثابت می‌کند که خنثی‌سازی آسیب‌پذیری‌های سخت‌افزاری با پچ‌های نرم‌افزاری یک بازی با بازده کاهشی است. حتی با دقت‌ترین دفاعیات طراحی شده نیز پنجره‌های میکروسکوپی را باقی می‌گذارند که محققان متعهد—یا بازیگران تهدید پیچیده—در نهایت می‌توانند از آنها سوءاستفاده کنند.[1][4]

برای کاربر عادی دسکتاپ، این دلیلی برای وحشت فوری نیست، زیرا حمله نیازمند اجرای کد محلی است و با سرعت بسیار پایینی کار می‌کند. اما برای ارائه‌دهندگان خدمات ابری که محیط‌های سرور مشترک را مدیریت می‌کنند، این یک یادآوری جدی است که شبح Spectre همچنان عمیقاً در معماری محاسبات مدرن ریشه دوانده است.[1][5]