Detalhes e informações de atenuação para falha de terminal L1

De Leslie Culbertson

A equipe de garantia e segurança de produtos (IPAS) da Intel concentra-se no cenário de segurança cibernética e trabalha constantemente para proteger nossos clientes. Iniciativas recentes incluem a expansão do nosso programa Bug Bounty e o aumento de parcerias com a comunidade de pesquisa, juntamente com testes de segurança internos em andamento e revisão de nossos produtos. Somos diligentes nesses esforços porque reconhecemos que os agentes mal-intencionados buscam continuamente ataques cada vez mais sofisticados, e será necessário que todos trabalhemos juntos para fornecer soluções.

Hoje, a Intel e nossos parceiros do setor estão compartilhando mais detalhes e informações de mitigação sobre um método de canal lateral de execução especulativa recentemente identificado chamado L1 Terminal Fault (L1TF). Esse método afeta produtos de microprocessadores selecionados que suportam o Intel® SGX (Intel® Software Extensions) e foi relatado pela primeira vez a nós por pesquisadores da Universidade KU Leuven *, Technion – Instituto de Tecnologia de Israel *, Universidade de Michigan *, Universidade de Adelaide * e Data61 * 1 . Pesquisas adicionais feitas por nossa equipe de segurança identificaram dois aplicativos relacionados do L1TF com o potencial de impactar outros microprocessadores, sistemas operacionais e software de virtualização.

Mais: Exploits de segurança e produtos da Intel (Press Kit) | Resultados da pesquisa de segurança (Intel.com)

Abordarei a questão da mitigação logo no início: as atualizações de microcódigo (MCUs) que lançamos no início deste ano são um componente importante da estratégia de mitigação para todas as três aplicações do L1TF. Quando combinadas com as atualizações correspondentes ao sistema operacional e ao software hipervisor lançadas hoje pelos nossos parceiros do setor e pela comunidade de código aberto, essas atualizações ajudam a garantir que os consumidores, profissionais de TI e provedores de serviços em nuvem tenham acesso às proteções necessárias.

O L1TF também é tratado por alterações que já estamos fazendo no nível do hardware. Conforme anunciado em março , essas mudanças começam com os processadores escaláveis ​​Intel® Xeon® de última geração (codinome Cascade Lake), bem como os novos processadores clientes que devem ser lançados ainda este ano.

Não temos conhecimento de relatos de que algum desses métodos tenha sido usado em explorações do mundo real, mas isso reforça ainda mais a necessidade de que todos sigam as melhores práticas de segurança. Isso inclui manter os sistemas atualizados e tomar medidas para evitar malware. Mais informações sobre as melhores práticas de segurança estão disponíveis no site da Homeland Security.

Sobre a falha de terminal L1

Todas as três aplicações do L1TF são vulnerabilidades de temporização do cache do canal lateral de execução especulativa. A este respeito, eles são semelhantes às variantes relatadas anteriormente. Esses métodos específicos têm como alvo o acesso ao cache de dados L1, um pequeno pool de memória dentro de cada núcleo de processador projetado para armazenar informações sobre o que o núcleo do processador provavelmente fará em seguida.

As atualizações de microcódigo que lançamos no começo deste ano fornecem uma maneira de o software do sistema limpar esse cache compartilhado. Dada a complexidade, criamos um pequeno vídeo para ajudar a explicar o L1TF.

Depois que os sistemas forem atualizados, esperamos que o risco para os consumidores e usuários corporativos que executam sistemas operacionais não virtualizados seja baixo. Isso inclui a maior parte da base instalada do data center e a grande maioria dos clientes de PC. Nesses casos, não observamos nenhum impacto significativo no desempenho das mitigações acima, com base nos benchmarks que executamos em nossos sistemas de teste.

Há uma parte do mercado – especificamente um subconjunto daqueles que executam a tecnologia de virtualização tradicional e, principalmente, no data center – em que pode ser aconselhável que clientes ou parceiros tomem medidas adicionais para proteger seus sistemas. Isso é principalmente para proteger contra situações em que o administrador de TI ou o provedor de nuvem não pode garantir que todos os sistemas operacionais virtualizados tenham sido atualizados. Essas ações podem incluir a ativação de recursos específicos de agendamento do hipervisor ou a escolha de não usar hyper-threading em alguns cenários específicos. Embora essas etapas adicionais possam ser aplicáveis ​​a uma parte relativamente pequena do mercado, achamos importante fornecer soluções para todos os nossos clientes.

Para esses casos específicos, o desempenho ou a utilização de recursos em algumas cargas de trabalho específicas podem ser afetados e variam de acordo. Nós e nossos parceiros do setor estamos trabalhando em várias soluções para lidar com esse impacto, para que os clientes possam escolher a melhor opção para suas necessidades. Como parte disso, desenvolvemos um método para detectar explorações baseadas em L1TF durante a operação do sistema, aplicando a mitigação somente quando necessário. Fornecemos o microcódigo de pré-lançamento com esse recurso para alguns de nossos parceiros para avaliação e esperamos expandir essa oferta ao longo do tempo.

Para obter mais informações sobre a L1TF, incluindo orientações detalhadas para profissionais de TI, visite o advisory sobre o centro de segurança . Também fornecemos um white paper e atualizamos as FAQs em nosso primeiro site de segurança .

Gostaria de agradecer novamente aos nossos parceiros do setor e aos pesquisadores que relataram essas questões pela primeira vez em sua colaboração e reuniram compromisso com a divulgação coordenada. A Intel está comprometida com a garantia de segurança de nossos produtos e continuará fornecendo atualizações regulares sobre os problemas à medida que os identificamos e os mitigamos.

Como sempre, continuamos incentivando todos a aproveitar as mais recentes proteções de segurança, mantendo seus sistemas atualizados.

Leslie Culbertson é vice-presidente executiva e gerente geral de Garantia de Produtos e Segurança da Intel Corporation.

1 Raoul Strackx, Jo Van Bulck, Marina Minkin, Ofir Weisse, Daniel Genkin, Baris Kasikci, Frank Piessens, Mark Silberstein, Thomas F. Wenisch e Yuval Yarom

Fonte: Intel

Profissional com mais de 6 anos de experiência, trabalhando sempre em empresas líderes de seus segmentos. Sólidos conhecimentos em E-Commerce, marketing, branding, mídia. Specialties: E-commerce, SEO , SEM, User Experience, Usbilidade, Digital Marketing, Social Media , Email Marketing, Media de Performance.

%d blogueiros gostam disto: