Μια νέα ερευνητική μελέτη φέρνει στο προσκήνιο έναν ιδιαίτερα σύνθετο κίνδυνο για περιβάλλοντα cloud, αποκαλύπτοντας ότι μια απομακρυσμένη επίθεση τύπου Spectre μπορούσε να διαρρεύσει δεδομένα από το Cloudflare Workers. Οι ερευνητές κατάφεραν να εξαγάγουν ένα JSON Web Token (JWT) από έναν co-located Worker, φτάνοντας σε ρυθμό έως 12 bit ανά δευτερόλεπτο.
Η επίδοση αυτή είναι εντυπωσιακά υψηλότερη από εκείνη προηγούμενης επίθεσης που είχε παρουσιαστεί το 2021, όταν ο ρυθμός διαρροής έφτανε μόλις τα 2 bit ανά λεπτό. Οι ερευνητές υπογραμμίζουν, πάντως, ότι το πείραμα πραγματοποιήθηκε σε ελεγχόμενο περιβάλλον και δεν διαπιστώθηκε πρόσβαση σε δεδομένα πραγματικών πελατών.
Πώς λειτουργεί η επίθεση
Στο πείραμα χρησιμοποιήθηκαν δύο Workers, ένας ελεγχόμενος από τον υποτιθέμενο επιτιθέμενο και ένας Worker-θύμα. Το JWT τοποθετήθηκε σκόπιμα στη μνήμη του δεύτερου, ώστε να εξεταστεί κατά πόσο μπορούσε να ανακτηθεί από τον πρώτο μέσω πλευρικών καναλιών.
Δείτε επίσης: Cloudflare: Νέες ανακοινώσεις για Hugging Face, Workers AI και νέα προϊόντα
Το Cloudflare Workers βασίζεται σε V8 isolates, δηλαδή απομονωμένα περιβάλλοντα εκτέλεσης JavaScript, επιτρέποντας σε κώδικα διαφορετικών πελατών να εκτελείται μέσα στην ίδια διεργασία. Η προσέγγιση αυτή μειώνει την καθυστέρηση εκκίνησης και βελτιώνει την αποδοτικότητα του cloud, όμως δημιουργεί έναν διαφορετικό τύπο κινδύνου σε σχέση με την πλήρη απομόνωση ξεχωριστών διεργασιών.
Οι επιθέσεις Spectre εκμεταλλεύονται χαρακτηριστικά της σύγχρονης εκτέλεσης εντολών στους επεξεργαστές και μπορούν να αποκαλύψουν πληροφορίες μέσω πολύ μικρών διαφορών στους χρόνους εκτέλεσης. Στην προκειμένη περίπτωση, οι ερευνητές αναζήτησαν έναν τρόπο να μετατρέψουν αυτές τις μικρές διαφορές σε απομακρυσμένο κανάλι διαρροής δεδομένων.
Το πρόβλημα με τα WebSockets
Ένα από τα σημαντικότερα ευρήματα αφορά τα WebSockets. Παρότι το Workers περιορίζει την ακρίβεια των τοπικών μηχανισμών χρονισμού, οι ερευνητές διαπίστωσαν ότι οι επικοινωνίες μέσω WebSocket μπορούσαν να λειτουργήσουν ως απομακρυσμένη πηγή χρονικών μετρήσεων.
Παράλληλα, τα Durable Objects μπορούσαν να κρατήσουν ενεργή μια διεργασία Worker για πολλές ώρες. Υπό συγκεκριμένες συνθήκες, η παρατεταμένη εκτέλεση συνέχιζε πριν ενεργοποιηθεί ο μηχανισμός απομόνωσης του DyPrIs.
Οι ερευνητές διαπίστωσαν επίσης ότι έντονη δραστηριότητα I/O μέσω WebSocket επηρέαζε την προσωρινή μνήμη iTLB και μπορούσε να περιορίσει το σήμα που χρησιμοποιούσε το DyPrIs για την ανίχνευση ύποπτης συμπεριφοράς. Με απλά λόγια, η ίδια η δραστηριότητα επικοινωνίας μπορούσε να κάνει δυσκολότερο τον εντοπισμό της επίθεσης.
Η διαφορά στις εκτιμήσεις Cloudflare και ερευνητών
Η Cloudflare αντιμετώπισε το ζήτημα ως περιορισμό στην υλοποίηση του DyPrIs, ενώ οι ερευνητές υποστηρίζουν ότι τα ευρήματα αποκαλύπτουν βαθύτερους περιορισμούς της συγκεκριμένης μεθόδου ανίχνευσης.
Σύμφωνα με τη μελέτη, η προστασία θα πρέπει να λειτουργεί κατά τη διάρκεια της εκτέλεσης και να βασίζεται σε σήματα που δεν μπορούν εύκολα να επηρεαστούν από άλλες δραστηριότητες του συστήματος.
Δείτε επίσης: Ελάττωμα του Cloudflare CDN διαρρέει δεδομένα τοποθεσίας χρήστη
Οι δοκιμές πραγματοποιήθηκαν σε Linux servers με επεξεργαστές AMD EPYC Zen 2 και Zen 3. Οι καλύτερες επιδόσεις καταγράφηκαν όταν η χρήση CPU ήταν σχετικά χαμηλή, περίπου μεταξύ 10% και 25%. Ακόμη και όταν ο φόρτος αυξανόταν, όμως, η επίθεση παρέμενε εφικτή, αν και ο ρυθμός διαρροής μειωνόταν.
360 φορές ταχύτερη διαρροή
Η μελέτη κατέγραψε μέγιστο ρυθμό 12 bit ανά δευτερόλεπτο, με ακρίβεια 99,16%. Πρόκειται για σημαντική βελτίωση σε σχέση με τα 2 bit ανά λεπτό της προηγούμενης επίθεσης, αυξάνοντας δραματικά την πρακτική αποτελεσματικότητα ενός τέτοιου side-channel.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Η εξέλιξη έχει ιδιαίτερη σημασία επειδή το 2021 η Cloudflare και το TU Graz είχαν παρουσιάσει επίθεση Spectre κατά του Workers με ρυθμό περίπου 120 bit ανά ώρα και είχαν προτείνει το DyPrIs ως μηχανισμό άμυνας. Η νέα έρευνα δείχνει ότι η αντιμετώπιση τέτοιων επιθέσεων απαιτεί διαρκή επανεκτίμηση, καθώς οι τεχνικές side-channel εξελίσσονται παράλληλα με τα μέτρα προστασίας.
Τα νέα μέτρα προστασίας
Η Cloudflare έχει ήδη προχωρήσει σε ενίσχυση της ασφάλειας του Workers. Στα μέτρα περιλαμβάνονται ένα βελτιωμένο DyPrIs, το V8 Sandbox και απομόνωση μνήμης μέσω Memory Protection Keys (MPK).
Το MPK χρησιμοποιεί hardware-enforced κλειδιά προστασίας για τις περιοχές μνήμης των Workers. Σε συνδυασμό με το V8 Sandbox και μια δυναμικά εναλλασσόμενη διάταξη μνήμης, στόχος είναι να αποτραπεί η κοινή χρήση του ίδιου κλειδιού από γειτονικά sandboxes.
Δείτε επίσης: Cloudflare Kitesurf: Ένας Browser Φτιαγμένος για AI Agents — Τι Αλλάζει
Η Cloudflare είχε εκτιμήσει ότι η τυχαία ανάθεση MPK θα μπορούσε να εντοπίζει περίπου το 92% των cross-isolate προσβάσεων. Η εναλλασσόμενη διάταξη μνήμης σχεδιάστηκε ώστε να καλύψει και το υπόλοιπο κενό.
Η εταιρεία δηλώνει ότι η ευπάθεια έχει πλέον αντιμετωπιστεί στο production περιβάλλον και ότι δεν υπάρχουν ενδείξεις ενεργής εκμετάλλευσής της τα τελευταία τρία χρόνια. Παρ’ όλα αυτά, η έρευνα υπενθυμίζει ότι στα cloud περιβάλλοντα η ισχυρή απομόνωση δεν είναι μία λύση που εγκαθίσταται μία φορά, αλλά μια συνεχής διαδικασία προσαρμογής απέναντι σε ολοένα πιο εξελιγμένες επιθέσεις.
