A AMD deu início a um movimentado Patch na terça divulgando o "INCEPTION", um novo ataque de canal lateral especulativo que afeta os processadores Zen 3 e Zen 4.
O "AMD-SB-7005 Return Address Security Bulletin" descreve esse novo ataque de canal lateral especulativo, que impacta os processadores EPYC e Ryzen mais recentes.
A AMD recomenda que os clientes apliquem um patch de microcódigo (µcode) ou atualizem o BIOS, conforme apropriado, para produtos baseados nas arquiteturas de CPU "Zen 3" e "Zen 4". Não é necessário aplicar um patch de microcódigo ou atualização do BIOS para produtos baseados nas arquiteturas de CPU "Zen" ou "Zen 2", uma vez que essas arquiteturas já foram projetadas para liberar previsões de tipo de ramificação do preditor de ramificação.
A AMD planeja lançar versões atualizadas do AGESA™ para fabricantes de equipamentos originais (OEMs), fabricantes de design original (ODMs) e fabricantes de placas-mãe listados no boletim de segurança da AMD. Os usuários devem consultar o fabricante OEM, ODM ou da placa-mãe para obter uma atualização de BIOS específica para seu produto.
A AMD indica que qualquer impacto no desempenho provavelmente será mínimo. Testarei alguns benchmarks de qualquer forma. Não fui informado com antecedência sobre essa vulnerabilidade, então este é apenas um artigo rápido por enquanto.
Para mais detalhes sobre essa nova vulnerabilidade de processador da AMD, visite o site da AMD em AMD.com.
Este Patch traz uma nova e potencialmente dolorosa vulnerabilidade de execução especulativa do processador... Downfall, ou como a Intel prefere chamá-la, é GDS: Gather Data Sampling. GDS/Downfall afeta a instrução de coleta com processadores habilitados para AVX2 e AVX-512. Pelo menos as CPUs Intel de última geração não são afetadas, mas Tigerlake / Ice Lake de volta a Skylake foi confirmado como afetado. Há mitigação de microcódigo disponível, mas será dispendiosa para cargas de trabalho AVX2/AVX-512 com instruções GATHER em hot code-paths e, portanto, ampla exposição de software, especialmente para HPC e outras cargas de trabalho intensivas em computação que dependem de AVX2/AVX-512 para melhor desempenho.
O logotipo da Queda.
O Downfall é caracterizado como uma vulnerabilidade devido a um recurso de otimização de memória que revela involuntariamente registros internos de hardware para software. Com o Downfall, o software não confiável pode acessar dados armazenados por outros programas que normalmente deveriam estar fora dos limites: a instrução AVX GATHER pode vazar o conteúdo do arquivo de registro de vetor interno durante a execução especulativa. A queda foi descoberta pelo pesquisador de segurança Daniel Moghimi, do Google. Moghimi escreveu um código de demonstração para o Downfall para mostrar chaves AES de 128 e 256 bits sendo roubadas de outros usuários no sistema local, bem como a capacidade de roubar dados arbitrários do kernel do Linux.
Os processadores Skylake foram confirmados como afetados por Tiger Lake no lado do cliente ou Xeon Scalable Ice Lake no lado do servidor. Pelo menos os mais recentes Intel Alder Lake / Raptor Lake e Intel Xeon Scalable Sapphire Rapids não são vulneráveis a Downfall. Mas para todas as gerações afetadas, o microcódigo da CPU está sendo lançado hoje para resolver esse problema.
A Intel reconhece que sua mitigação de microcódigo para Downfall terá o potencial de afetar o desempenho onde as instruções de coleta estão no atalho de um aplicativo. Em particular, devido ao impacto do AVX2/AVX-512 com cargas de trabalho pesadas de vetorização, as cargas de trabalho HPC em particular provavelmente serão as mais afetadas, mas também vimos muito uso de AVX por codificação/transcodificação de vídeo, IA e outras áreas. A Intel não transmitiu nenhuma declaração de impacto de desempenho estimado dessa mitigação. Bem, para a imprensa. Para outros parceiros, a Intel comunicou um impacto de desempenho de até 50%. Isso é para cargas de trabalho com uso de instrução de coleta pesada como parte do AVX2/AVX-512. A Intel está sendo bastante pró-ativa em informar aos clientes que eles podem desativar a alteração do microcódigo se sentirem que não serão afetados pelo Downfall. A Intel também acredita que realizar um ataque Downfall no mundo real seria uma tarefa muito difícil. No entanto, essas questões estão sujeitas a debate.
A declaração geral da Intel sobre o Downfall é:
"O pesquisador de seguança, trabalhando dentro das condições controladas de um ambiente de pesquisa, demonstrou o problema do GDS que depende de software usando instruções Gather. Embora esse ataque seja muito complexo de se realizar fora dessas condições controladas, as plataformas afetadas têm uma mitigação disponível por meio de uma atualização de microcódigo. Processadores recentes da Intel, incluindo Alder Lake, Raptor Lake e Sapphire Rapids, não são afetados. Muitos clientes, depois de revisar as orientações de avaliação de risco da Intel, podem decidir desabilitar a mitigação por meio de switches disponibilizados também nos sistemas operacionais Windows e Linux como VMMs. Em ambientes de nuvem pública, os clientes devem verificar com seu provedor a viabilidade desses switches."
Enquanto isso, Daniel Moghimi com seu site Downfall caracteriza o impacto de Downfall como:
"O GDS é altamente prático. Levei 2 semanas para desenvolver um ataque de ponta a ponta contra as chaves de criptografia. Requer apenas que o invasor e a vítima compartilhem o mesmo núcleo de processador físico, o que acontece com frequência na infraestrutura de computação compartilhada moderna, implementando multitarefa preemptiva e multithreading simultâneo."
E então, em relação à desativação das próximas mitigações do Downfall:
"Essa é uma péssima ideia. Mesmo que sua carga de trabalho não use instruções vetoriais, os processadores modernos contam com registradores vetoriais para otimizar operações comuns, como copiar memória e alternar o conteúdo do registrador, que vaza dados para códigos não confiáveis que exploram o Gather."
Aumentando mais o alarme, Daniel relatou esse problema à Intel em agosto de 2022 ... Sim, basicamente um ano desde o relatório, essa vulnerabilidade só agora está sendo tornada pública.
O microcódigo da CPU Intel atualizado deve ser postado nos próximos minutos, bem como o(s) patch(s) do kernel do Linux que permitirá, opcionalmente, desabilitar a mitigação em sistemas que executam este próximo microcódigo da CPU. A divulgação de segurança oficial da Intel deve estar disponível aqui . O site da Downfall é downfall.page .
A Intel foi bastante proativa em sua divulgação antes do levantamento do embargo de Downfall de hoje. Embora eles tenham fornecido algumas informações e suas respostas públicas a essa vulnerabilidade, eles não forneceram nenhuma expectativa de resultado de referência. Também solicitei acesso antecipado às atualizações do microcódigo da CPU para dar tempo de verificar independentemente o impacto da mitigação no desempenho. Infelizmente, eles não foram capazes de fornecer o microcódigo da CPU com antecedência. No entanto, já passei dias preparando novos benchmarks AVX no microcódigo atual para examinar as implicações de desempenho. Com o lançamento do microcódigo hoje, estarei executando os benchmarks pós-mitigação e assim que esta noite devo ter alguns resultados preliminares para compartilhar...
Coletar dados de amostragem / Queda é talvez a vulnerabilidade de segurança de CPU mais preocupante que vimos em alguns anos, se houver de fato mais de 50% de penalidades de desempenho para cargas de trabalho AVX com uso pesado de instruções de coleta ... O atraso de um ano na divulgação do GDS para o público e as comunicações da Intel destacando o fato de que a mitigação pode ser desativada com os próximos patches do Linux e do Windows adicionam peso adicional a essa mitigação sendo bastante cara.
Este Patch Tuesday trouxe à tona uma nova e potencialmente impactante vulnerabilidade de execução especulativa do processador, denominada "Downfall" ou, como a Intel prefere chamar, "GDS: Gather Data Sampling". O GDS/Downfall afeta a instrução de coleta em processadores habilitados para AVX2 e AVX-512. Embora as CPUs Intel mais recentes não sejam afetadas, as gerações mais antigas, desde Skylake até Tiger Lake / Ice Lake, foram confirmadas como vulneráveis.
O Downfall é caracterizado como uma vulnerabilidade devido a um recurso de otimização de memória que inadvertidamente expõe registros internos de hardware para o software. Isso permite que software não confiável acesse dados armazenados por outros programas, normalmente fora de seus limites. A instrução AVX GATHER pode vazar o conteúdo dos registros internos de vetor durante a execução especulativa. O pesquisador de segurança Daniel Moghimi, do Google, descobriu o Downfall e demonstrou um código de exemplo que rouba chaves AES de 128 e 256 bits de outros usuários no sistema local, além de ser capaz de extrair dados arbitrários do kernel do Linux.
Os processadores Skylake, Tiger Lake no lado do cliente e Ice Lake no lado do servidor foram confirmados como afetados. As CPUs Intel mais recentes, como Alder Lake, Raptor Lake e Sapphire Rapids, não são vulneráveis ao Downfall. Para as gerações afetadas, a Intel está lançando microcódigos de CPU para mitigar o problema.
A mitigação de microcódigo para o Downfall pode ter um impacto significativo no desempenho, especialmente em cargas de trabalho que fazem uso intensivo de instruções AVX2/AVX-512 com a instrução GATHER. Cargas de trabalho de alto desempenho, como computação de alto desempenho (HPC) e tarefas de codificação/transcodificação de vídeo, podem ser particularmente afetadas. A Intel não forneceu uma estimativa precisa do impacto de desempenho, mas indicou que em algumas situações o impacto poderia ser de até 50%. A Intel está fornecendo a opção de desativar a mitigação por meio de switches nos sistemas operacionais Windows e Linux, mas recomenda cautela ao fazê-lo.
A vulnerabilidade Downfall foi relatada à Intel por Daniel Moghimi em agosto de 2022, mas só agora foi tornada pública, um ano após o relatório. A Intel foi proativa em comunicar a vulnerabilidade e suas ações mitigadoras antes do levantamento do embargo.
Os novos microcódigos de CPU e patches do kernel do Linux estarão disponíveis em breve. O site oficial da divulgação de segurança da Intel fornecerá mais informações sobre o assunto. A vulnerabilidade Downfall traz preocupações significativas, especialmente para as cargas de trabalho AVX com uso intenso de instruções de coleta, e a mitigação pode ter um impacto considerável no desempenho.
Até a próxima !!
Nenhum comentário:
Postar um comentário