Een van de twee ‘lekke’ AMD-processoren (afb: AMD)

Het leek er op dat vooral de processoren van Intel behept waren met veiligheidslekken, al werden bij de heisa rond Spectre en Meltdown ook de processorfabrikanten ARM en AMD genoemd. Nu is het weer raak. Onderzoekers van het Israëlische bedrijf CTS-labs hebben bij processoren van AMD verschillende gaten ontdekt waarvan onverlaten misbruik zouden kunnen maken. Het vervelende is dat  die gaten voorkomen in dat gedeelte dat het veilige deel van de processor zou moeten zijn. Daar wordt gevoelige informatie gehanteerd zoals zoals wachtwoorden en versleutelingscode. Dat deel zou ook moeten controleren of je apparaat niet besmet is met wormen of andere ongedierte. Inmiddels zou AMD de lekken hebben gerepareerd.

De onderzoekers ontdekten maar liefst dertien ernstige fouten, die het aanvallers mogelijk maakt code te plaatsen op de Ryzen- en EPYC-processoren van AMD. De Ryzen-processoren vind je in computers en de EPYC-chips in servers. De onderzoekers gaven de fabrikant minder dan 24 uur de tijd voordat zij hun rapport openbaar maakten. Waarom, wordt niet duidelijk. AMD zegt het rapport te bestuderen om te bekijken wat dat waard is. AMD is leverancier van zo’n 22% van alle computerprocessoren, terwijl Intel in 77% van alle computers wereldwijd voorkomt.Toen de Meltdown&Spectre-heisa losbarstte, zei AMD dat  zijn processoren daar geen last van hadden vanwege een afwijkende architectuur.

De geconstateerde gaten vallen in vier categorieën, meldt Yaron Luk-Zilberman van CTS-labs. Alle kwetsbaarheden maken het aanvallers mogelijk de ‘veilige’ processor binnen te dringen. Luk-Zilberman: “Als je daar zit ben je vrijwel onzichtbaar.”

Veilig opstarten

Als je computer opstart controleert die of er geen ongerechtigheden op voorkomen. De moedersleutelkwetsbaarheid (master key) biedt de mogelijkheid die controle te omzeilen door kwaadaardige code te installeren in je BIOS, dat deel dat bepaalt hoe de computer wordt opgestart. Als dat systeem eenmaal besmet is dan geeft de moedersleutel de aanvaller de mogelijkheid om een veil progje op je veilige processor te zetten, waarmee dat de computer kan overnemen.
De Ryzenfallkwetsbaarheid biedt de mogelijkheid via kwaadaardige code de veilige processor te annexeren. Daarmee krijgt een aanvaller toegang tot gevoelige gegevens zoals wachtwoorden en versleutelingscode, aldus de onderzoekers.
Als een aanvaller Windows Defender Credential Guard voorbij komt dan kan die gegevens verspreidden in het netwerk waar die besmette computer onderdeel van uitmaakt. Windows Defender is het verdedigingsmechanisme van Windows 10. Credential Guard is een onderdeel van de ondernemingsversies van dat besturingssysteem, Windows 10 Enterprise.
Luk-Zilberman: “Windows Defender Credential Guard is heel erg effectief in het beschermen van wachtwoorden. De aanval maakt het doordringen in het netwerk veel makkelijker.”

Fallout

De derde categorie kwetsbaarheden hebben de onderzoekers Fallout genoemd. Die geeft aanvallers toegang tot de beschermde gegevens met inbegrip van Credential Guard. Maar die zijn alleen van toepassing bij EPYC-processoren.
Microsoft kondigde onlangs aan voor zijn wolkdienst Azure EPYC-processoren te gaan gebruiken. Microsoft deelde mee zich met de zaak bezig te zullen houden.
Omdat deze processoren in grote systemen worden gebruikt, zullen de opbrengsten voor de aanvaller ook navenant groter zijn. “In deze netwerken zijn de gevoelige gegevens opgeslagen op een aparte virtuele machine. Met normale kraakmethodes kom je daar niet in”, zegt CTS-labs-baas Ido Li On. “Met Fallout wordt die scheiding tussen de virtuele machines verbroken.”

Virtuele machines zijn een methode om een deel van het geheugen van je computer af te schermen van de rest. Onderzoekers gebruiken die om kwaadaardige progjes te testen zonder de rest van de computer te besmetten. Bij Credential Guard worden daar de gevoelige gegevens bewaard, waar ‘normale’ digitale inbrekers nooit of laten we zeggen moeilijk bij kunnen.

Chimera

De categorie Chimera heeft betrekking op twee kwetsbaarheden: een in de componenten en een in de bedrijfsprogrammatuur (firmware). Daarmee kan een aanvaller binnenkomen via wifi, Bleutooth of het netwerk, in feite de verbindingen waarmee je computer met de buitenwereld is verbonden. Het gaat hierbij om Ryzen-processoren. Zo zouden de onderzoekers hebben bewezen dat het via die gaten mogelijk is een toetsenlogger op je computer te installeren, waarmee de toetsaanslagen door een aanvaller kunnen worden afgelezen.
Door de lekken in de bedrijfsprotuur zou de aanvaller kwaadaardige programmatuur op je computer kunnen zetten. Volgens de onderzoekers van CST-labs zijn de gaten het gevolg van zeer elementaire fouten in de code.

En nu?

Het is onduidelijk hoe lang AMD erover doet om de gaten te dichten. CTS-labs zei niets meer van het bedrijf vernomen te hebben. Volgens de onderzoekers zou het zeker maanden duren om de boel te repareren. De fouten in de chip zelf kunnen niet worden gerepareerd, aldus de onderzoekers. Li On: “Als je eenmaal in de veilige processor bent, dan kun je de meeste beveiligingsmaatregelen omzeilen.”

Bron: CNet