- محققان به تازگی توانسته‌اند یک آسیب‌پذیری جدی در پردازنده‌های شرکت اینتل کشف کنند که به مهاجم اجازه می‌دهد با استفاده از حملات «تزریق ارزش بارگذازی» به اطلاعات مهمی همچون کلید خصوصی و رمزعبور کاربر دسترسی داشته باشد.
یک آسیب‌پذیری جدید
ذخیره‌ی کلید‌های خصوصی بر روی رایانه‌های شخصی، حتی به صورت آفلاین هم دیگر امن نیست. به تازگی یک آسیب‌پذیری بسیار جدی در پردازنده‌های رایانه‌ای شناسایی شده است که به مهاجمان اجازه می‌دهد به داده‌های مهم از جمله کلید کیف‌پول‌های رمزارزی دسترسی داشته باشند.
درست یک سال پس از کشف آسیب‌پذیری‌های اسپکچر(Spectre) و ملت‌داون(Meltdown) در پردازنده‌های شرکت اینتل که باعث دسترسی هکرها به اطلاعات حساس می‌شد، حال یک مسیر پردازشی جدید با آسیب‌پذیری جدی پیدا شده است که به مهاجم اجازه‌ی دسترسی به اطلاعات ارزشمند رایانه‌ی کاربران را می‌دهد.
این آسیب‌پذیری جدید که به هکرها اجازه می‌دهد از طریق فناوری SGX شرکت اینتل(بسط امنیت نرم‌افزاری) به اطلاعات مهم دسترسی پیدا کنند، روز سه‌شنبه ۱۰ام مارس کشف شده است. بسط امنیتی مذکور غالباً برای ذخیره‌سازی اطلاعات دیجیتال از جمله کلید‌های خصوصی و سایر اطلاعات حساس مورد استفاده قرار می‌گیرد، بنابراین باز بودن مسیر ارتباطی آن و امکان افشاء اطلاعات یک آسیب‌پذیری بسیار جدی به شمار می‌آید.
یک نوع حمله‌ی جدید
براساس گزارشات یک شرکت فعال در زمینه‌ی امنیت سایبری به نام آرس‌تکنیکا(ArsTechnica)، مهاجم می‌تواند با استفاده از نوع جدیدی از حملات مخرب با نام تزریق ارزش بارگذاری(Load Value Injection) به داده‌های کاربران دسترسی داشته باشد.
این بدان معناست که هکر می‌تواند با تزریق کد‌های مخرب و یا یک نرم‌افزار دستکاری شده، اطلاعات حساس را به سادگی بدست آورد. این کد مخرب می‌تواند به اطلاعاتی که معمولاً به اشتراک گذاشته نمی‌شوند، از جمله کلید خصوصی، به صورت مستقیم دسترسی پیدا کند.
این آسیب‌پذیری بر روی نرم‌افزارهایی که از فناوری SGX برای ایجاد یک پناهگاه امن دیجیتال استفاده می‌کنند تاثیر می‌گذارد، پناهگاه امنی که برای ذخیره‌ی مواردی همچون کلید‌های رمزگذاری شده، رمز عبور، فناوری مدیریت حقوق دیجیتال و سایر اطلاعات حساس مورد استفاده قرار گرفته و کشف این آسیب‌پذیری تاثیر زیادی بر امنیت آن‌ها خواهد داشت.
شرکت اینتل در رابطه با این آسیب‌پذیری جدید و پردازنده‌هایی که تحت تاثیر آن قرار می‌گیرند یک لیست منتشر کرده است و اعلام نموده که:
برخلاف تمام حملات ملت‌داون قبلی، آسیب‌پذیری جدید تزریق ارزش بارگذاری را نمی‌توان به صورت شفاف و مستقیم رفع کرد ، زیرا برای اینکار به وصله‌های نرم‌افزاری بسیار گران‌قیمت نیاز است، وصله‌هایی که ممکن است محاسبات داخلی(Enclave) و اینتل SGX را بین ۲ تا ۱۹ برابر کند‌تر کنند. Intel
کلید‌های خصوصی غالباً به دلیل خطا انسانی افشاء می‌شوند
شرکت اینتل مدت کمی پس از شناسایی این آسیب‌پذیری در رابطه با نحوه‌ی حملات و گسترش آن یک بیانیه‌ی رسمی منتشر کرد. در بخش‌هایی از این بیانیه آمده است:
محققان توانسته‌اند یک مکانیزم جدید را شناسایی کنند که «تزریق ارزش بارگذاری» نامگذاری شده است. به توجه به الزامات و پیش‌نیازهای پیچیده‌ی بی‌شماری که برای انجام موفقیت‌آمیز این مکانیزم جدید مورد نیاز است، اینتل معتقد است که فرایند LVI یک روش عملی در محیط دنیای واقعی به شمار نمی‌آید. ابزارها و دستورالعمل‌های لازم برای پیشگیری از این آسیب‌پذیری در حال حاضر موجود است و با سایر ابزارهای موجود که برای کاهش سطح خطر حمله به منابع پردازش ابری استفاده می‌شوند، همخوانی کامل دارند.
در تحقیقات ویژه‌ای که در ماه آوریل ۲۰۱۹ صورت گرفت، دامنه و تاثیر حملات «ارزش بارگذاری» به طور مفصل مورد بررسی قرار گرفت و جزئیات آن منتشر شد. محققان اعلام کرده‌اند که اجرای اینگونه حملات بسیار دشوار بوده و پیش‌نیازهای بسیاری زیادی لازم دارد، از این رو احتمال حمله به دستگاه‌های الکترونیکی مصرف‌کنندگان وجود ندارد.
هیچ موردی به ثبت نرسیده است
در ادامه گفته شده که تا به امروز هیچ مورد مشخصی از وقوع حملات ارزش بارگذاری به ثبت نرسیده است؛ بنابراین تنها این احتمال وجود دارد که حملات LV برای حمله به منابع مورد استفاده در محاسبات ابری صورت بگیرد.
مالکان دارایی‌های رمزارزی همواره نسبت به افشاء کلید‌های خصوصی نگران هستند. تا به امروز اغلب موارد ثبت شده در رابطه با سرقت از کیف‌پول رمزارزی کاربران به دلیل خطای انسانی و افشاء کلید‌های خصوصی توسط خود کاربر بوده است. بنابراین سرقت کلید خصوصی کیف‌پول از رایانه‌ی شخصی کاربران یک سناریویی بسیار ضعیف و با احتمال بسیار پایین به شمار می‌آيد.
نظر شما در رابطه با آسیب‌پذیری جدید پردازنده‌های شرکت اینتل چیست؟ آیا امکان سرقت اطلاعات مهم از جمله کلید خصوصی با استفاده از این آسیب‌پذیری وجود دارد؟ نظرات و پیشنهادات خود را با تیم کوینیت در میان بگذارید.
