Исследовательская группа обнаружила side-channel проблемы в процессорах Apple серий A и M, использующихся в Mac, iPhone и iPad. Проблемы позволяют похищать конфиденциальную информацию из браузеров и получить доступ к секретам Gmail, iCloud и так далее.
В 2023 году эта же группа ученых из Технологического университета Джорджии, Мичиганского университета и Рурского университета в Бохуме уже демонстрировала похожую спекулятивную side-channel атаку iLeakage, которая работала против устройств Apple и позволяла извлекать конфиденциальную информацию из браузера Safari, включая пароли и содержимое вкладок.
Теперь эксперты представили сразу две новые side-channel атаки, получившие названия FLOP и SLAP.
Атаки FLOP и SLAP нацелены на функции, ускоряющие обработку данных путем предугадывания будущих инструкций вместо их ожидания. Такая активность может оставлять следы в памяти, которые пригодны для извлечения конфиденциальной информации.
«Начиная с поколений M2 и A15, процессоры Apple пытаются предсказать следующий адрес памяти, к которому обратится ядро», — объясняют исследователи. — Более того, начиная с поколений M3 и A17, они пытаются предсказать значения данных, которые будут возвращены из памяти. Однако неправильные предсказания в этих механизмах могут приводить к тому, что произвольные вычисления будут выполняться с out-of-bounds данными или неверными значениями данных».
Такие неверные предсказания могут иметь серьезные последствия для безопасности, так как в итоге они могут привести к побегу из песочницы браузера и чтению персональной информации в Safari и Chrome.
Отмечается, что обе атаки можно осуществить удаленно, через браузер, с помощью вредоносной интернет-страницы, содержащей код JavaScript или WebAssembly, предназначенный для запуска FLOP и SLAP. То есть жертве достаточно посетить вредоносный сайт, чтобы произошла утечка секретов (в обход песочницы браузера, ASLR и других классических средств защиты памяти).
«Существуют аппаратные и программные меры, гарантирующие, что две открытые в браузере веб-страницы изолированы друг от друга, что не позволяет одной из них (злонамеренно) прочитать содержимое другой, — пишут авторы исследования. — SLAP и FLOP нарушают эту защиту, позволяя вредоносным страницам читать конфиденциальные данные, защищенные механизмами авторизации. Наша работа демонстрирует, что эти данные варьируются от истории местоположений до информации о кредитных картах».
Исследователи уведомили Apple об обнаруженных проблемах еще 24 марта 2024 года (SLAP) и 3 сентября 2024 года (FLOP). В Apple подтвердили работоспособность предоставленных proof-of-concept эксплоитов и заявили, что планируют исправить эти уязвимости. Однако в настоящее время ошибки все еще остаются неисправленными.
«Мы хотим поблагодарить исследователей за сотрудничество, так как подобные proof of concept углубляют наше понимание таких типов угроз, — заявили в Apple в ответ на вопросы СМИ. — Основываясь на проведенном анализе, мы не считаем, что эта проблема представляет непосредственный риск для наших пользователей».
FLOP
В первой научной работе описывается атака False Load Output Prediction (FLOP), работающая как против Safari, так и против Chrome. Атака может применяться против новейших процессоров Apple M3, M4 и A17, которые предсказывают не только адреса памяти, к которым они будут обращаться, но даже фактические значения, хранящиеся в памяти.
Если такие прогнозы Load Value Prediction (LVP) оказываются неверными, для временных вычислений используются некорректные данные, что может использоваться злоумышленниками для кражи конфиденциальной информации.
Исследователи продемонстрировали атаку FLOP, вынудив процессор M3 делать неверные предсказания. Предварительно специалисты «обучили» процессор с помощью цикла, который загружал определенное постоянное значение, а затем провоцировал ошибочное предсказание.
Пока процессор пребывает в таком некорректном состоянии, происходит утечка данных через связанную с кешем атаку по времени (timing attack). Если утечка длится достаточно долго, можно измерить время доступа к памяти и вычислить секретное значение, пока процессор не скорректирует свою работу.
Используя FLOP в своих опытах, исследователи добились побега из песочницы Safari, получили информацию об отправителе и теме письма из почтового ящика Proton Mail, похитили историю местоположений из Google Maps, а также восстановили события из календаря iCloud.
SLAP
Вторая работа рассказывает об атаке Speculative Load Address Prediction (SLAP), которая затрагивает процессоры Apple M2 и A15, а также ряд других моделей, но работает только против Safari.
В отличие от атаки FLOP, которая предугадывает, какое значение вернется при загрузке памяти, SLAP связана с предсказанием адресов в памяти, к которым будет осуществляться следующее обращение. Это называется Load Address Prediction (LAP).
Злоумышленник может «обучить» процессор предсказывать определенную схему доступа к памяти, а затем вынудить его получить доступ к секретным данным, резкого изменив структуру памяти. В результате следующее предсказание будет указывать на конкретный секрет.
Доверившись своему прогнозу, процессор считывает и обрабатывает конфиденциальные данные, пока не обнаружит и не исправит ошибку. Это позволяет злоумышленнику использовать side-channel для получения информации об утечке.
Многократно повторяя атаку SLAP, атакующий сможет реконструировать украденную информацию, например, получив данные о входящих сообщениях в Gmail, заказах на Amazon, посещениях сайтов или активности на Reddit.
Скрипты, использованные экспертами на демонстрационных сайтах, выполняют ряд загрузок памяти, предназначенных для провоцирования проблем FLOP и SLAP. Заражение вредоносным ПО вообще не требуется, ведь современные браузеры позволяют выполнять сложные вычисления, что в данном случае делает их инструментами для атак.
Пока Apple не выпустила обновления, возможным способом защиты от FLOP и SLAP может быть отключение JavaScript в Safari и Chrome, хотя это приведет к сбоям в работе многих сайтов.
