Attacco Downfall alle CPU Intel: cos'è e come funziona

Quando si parla di attacchi side-channel nei confronti dei processori, nella maggior parte dei casi i reboanti annunci sulla pericolosità delle vulnerabilità via via scoperte, si sono poi generalmente rivelati di scarsa valenza pratica. Secondo i ricercatori Google non è il caso dell’attacco Downfall, che interessa le CPU Intel dalla sesta (Skylake) all’undicesima generazione (Tiger Lake).

Classificata con l’identificativo CVE-2022-40982, la falla di sicurezza in questione può consentire – se sfruttata – la sottrazione di chiavi crittografiche, password, informazioni personali, messaggi, credenziali bancarie e altri dati che dovrebbero restare riservati. Google precisa infatti che il problema di sicurezza battezzato con il nome di Downfall interessa Intel SGX (Software Guard eXtensions), tecnologia di sicurezza introdotta a suo tempo dalla società di Santa Clara per consentire la creazione di “enclavi sicure” all’interno dei suoi processori.

Un’enclave sicura è un ambiente isolato in cui i dati possono essere elaborati e memorizzati in modo sicuro, anche da parte del sistema operativo o di altre applicazioni eseguite sul sistema in uso.

Con il rilascio dei processori di undicesima generazione e successivi, Intel ha deciso di abbandonare SGX: ecco perché i processori Intel più moderni sono di fatto immuni a Downfall. Ciononostante, come osserva Daniel Moghimi, ricercatore Google che si è per primo accorto dell’esistenza del problema di sicurezza, Downfall resta oggi di interesse per miliardi di dispositivi basati sulla piattaforma Intel.

Attacco Downfall: com’è possibile raccogliere informazioni riservate dai processori Intel

Abbiamo già visto, ad alto livello, come funziona un processore e cos’è la CPU. Nel caso dell’attacco Downfall, Moghimi ha osservato che alcune delle funzionalità di ottimizzazione della memoria nei processori Intel rivelano involontariamente il contenuto dei registri. Ciò consente a software non affidabili in esecuzione sulla macchina, di accedere ai dati memorizzati da altri programmi. Si tratta di informazioni alle quali di norma non dovrebbe essere possibile accedere.

Così, un’applicazione malevola ottenuta da un negozio di app online o da altre fonti, potrebbe sfruttare Downfall per rubare informazioni riservate. Allo stesso modo, negli ambienti di cloud computing, un utente malintenzionato potrebbe far leva su Downfall per rubare dati e credenziali di altri soggetti che fanno uso dello stesso sistema.

Moghimi ha scoperto che l’istruzione Gather, progettata per accelerare l’accesso a dati in memoria, rivela il contenuto di registro vettoriale interno al processore durante le attività di esecuzione speculativa. Ancora una volta, quindi, il nuovo attacco side-channel svelato da Google si pone sulla scia delle aggressioni Spectre e Meltdown balzate agli onori delle cronache a inizio 2018.

Cos’è e a che cosa serve l’istruzione Gather nei processori Intel

L’istruzione Gather consente, nei processori Intel, l’accesso ai dati suddivisi in varie posizioni della memoria (non contigue) combinandoli in un singolo registro o in una specifica locazione. Essa è parte integrante delle istruzioni SIMD (Single Instruction, Multiple Data) che consentono di eseguire la stessa operazione su più dati contemporaneamente, migliorando l’efficienza e le prestazioni delle applicazioni che richiedono un’elaborazione parallela.

L’attacco Downfall solleva importanti preoccupazioni per la sicurezza dei dati e la privacy degli utenti, specialmente in quegli ambienti in cui le risorse sono condivise tra più utenti e l’isolamento dei dati è ancora più fondamentale.

Come proteggersi dagli attacchi che sfruttano Downfall

Le possibili conseguenze degli attacchi Downfall mettono in luce la necessità di interventi tempestivi, tra cui l’implementazione di patch software. L’approccio migliore consiste nell’applicare aggiornamenti del microcodice che i produttori delle schede madri rilasceranno sotto forma di update del BIOS. Intel, da parte sua, ha già pubblicato gli strumenti per procedere in tal senso: tutti i dettagli sono disponibili in questo bollettino.

La società guidata da Pat Gelsinger sapeva dell’esistenza delle vulnerabilità legate a Downfall già dal mese di agosto 2022: i produttori hardware hanno avuto un anno di tempo per verificare la problematica e predisporre gli aggiornamenti di sicurezza da consegnare nelle mani dei rispettivi utenti.

Secondo Intel, le correzioni distribuite possono avere un certo impatto in termini prestazionali solamente in ambito HPC (High Performance Computing) e non certo in altri frangenti di utilizzo.

L’azienda ha inoltre confermato che Downfall interessa i processori delle famiglie Skylake, Cascade Lake, Cooper Lake, Amber Lake, Kaby Lake, Coffee Lake, Whiskey Lake, Comet Lake, Tiger Lake, Ice Lake e Rocket Lake. Tuttavia, ritiene che un attacco sia complicato da porre in essere in ambienti diversi da quelli di laboratorio. Di diverso avviso, come riportato nelle FAQ su Downfall, è l’autore della scoperta che ammette comunque che l’eventuale sfruttamento del problema tramite browser Web richieda ulteriori sforzi di ricerca e ingegneria.