Von links: Daniel Gruß, Michael Schwarz, Moritz Lipp (c) TU Graz

Een internationaal onderzoeksteam heeft opnieuw een ernstig beveiligingslek in computerprocessoren ontdekt: Load Value Injection! Dit lek maakt een nieuw type aanval mogelijk. Niet alleen kunnen gevoelige gegevens en sleutels worden gestolen, maar er kunnen ook aanvalsgegevens worden ‘geïnjecteerd’.

Load Value Injection volgt op een reeks problemen die de architectuur van computerprocessoren kwetsbaar maken voor aanvallen. Vooral de computerprocessoren van de fabrikant Intel werden getroffen. De problemen werden ontdekt door verschillende internationale onderzoeksteams, die ze openbaar maakten onder de namen Spectre, Meltdown, Foreshadow, ZombieLoad en Plundervolt.

Veiligheidslek maakt ‘injectie’ van valse gegevens mogelijk

Achter de ontdekking van de nieuwe Load Value Injection virus zit een internationaal team, waarin Daniel Gruss, Michael Schwarz en Moritz Lipp van het Institute for Applied Information Processing and Communication Technology van de Technische Universiteit Graz centraal staan. Dit is relevant omdat de Graz-onderzoekers al in 2018 betrokken waren bij de ontdekking van Meltdown, een processorlek dat vergelijkbaar is met Load Value Injection.

Meltdown was een eenvoudige aanval waarbij slechts vier regels computercode voldoende waren om toegang te krijgen. Load Value Injection keert deze methode om: De aangevallen computerprocessor blijft werken met valse gegevens die door aanvallers in de computer worden geïnjecteerd. Een video over Load Value Injection is hier te vinden.

Gevoelig gebied in de betrokken computerprocessor

Het gaat hier om een hardware-virus dat op software-niveau kan wordeningezet. De hardware-extensie Software Guard Extensions (SGX) Enclaves, ontwikkeld door Intel, wordt beïnvloed. Deze uitbreiding is ontworpen om het gebied van de computerprocessor waar gevoelige gegevens worden verwerkt, te beschermen. Dit betekent dat het niet mogelijk zou moeten zijn om een code op dit gebied uit te voeren.

In feite zou men voor een aanval alleen maar software hoeven te schrijven die gebruik maakt van SGX-enclaves, legt Daniel Gruss van het Graz-onderzoeksteam uit. Zo zou een videostreamingdienst deze toegang kunnen gebruiken om zijn eigen video’s te beschermen. Ook al worden ze afgespeeld op een buitenlandse laptop, zegt de onderzoeker.

Het dichten van de veiligheidskloof

Intel, de fabrikant van de SGX Enclaves-software, werd al in april 2019 op de hoogte gebracht van het probleem. Er is een lange periode van geheimhouding afgesproken. Hierdoor kon Intel de noodzakelijke reparaties uitvoeren en werden computergebruikers niet aan onnodige risico’s blootgesteld. Het dichten van het gat vereist ofwel een massale ingreep in de software – of een volledig nieuwe processor. De onderzoekers hebben samen met Intel een softwareoplossing ontwikkeld. Maar dit zal leiden tot enorme prestatieverliezen van de processor. Het onderzoeksteam raadt hoe dan ook aan om alle beveiligingsupdates van de fabrikanten te installeren en het eigen computersysteem te beveiligen.

De informatie over het lek is al gepubliceerd op de website lvi attack.eu. Het wetenschappelijke onderzoek zal worden gepresenteerd op het IEEE Security and Privacy Symposium in San Francisco in mei.

Ook interessant:

ZombieLoad 2.0 – Veiligheidsgat ondanks update

 

 

Word lid!

Op Innovation Origins lees je elke dag het laatste nieuws over de wereld van innovatie. Dat willen we ook zo houden, maar dat kunnen wij niet alleen! Geniet je van onze artikelen en wil je onafhankelijke journalistiek steunen? Word dan lid en lees onze verhalen gegarandeerd reclamevrij.

Over de auteur

Author profile picture Hildegard Suntinger is een schrijver. Ze woont in Wenen als freelance journalist en schrijft over alle aspecten van de kledingproductie. Ze is geïnteresseerd in nieuwe trends in design, technologie en business. Ze is vooral enthousiast over het ontdekken van interdisciplinaire tendensen en het vervagen van de grenzen tussen verschillende disciplines. Het belangrijkste element is de technologie, die alle gebieden van het leven en het werk verandert.