1 2 3 4 5 6

Vulnerabilidad estropea protecciones para millones de dispositivos

WIRED 22-Feb-2017

Un equipo holandés de investigadores ha encontrado una técnica que rompe la generación aleatoria de la capa del espacio de direcciones, creando la flecha "Tu estas aquí" que los atacantes necesitan para orientarse ellos mismos dentro de la computadora de un extraño. Esto significa que cualquiera de los bugs de corrupción de memoria común encontrados en aplicaciones de software de forma diaria pueden dirigir a la toma de control más profunda de una PC o teléfono inteligente. Debido a que los ataques utilizan exploits no de software sino hardware, estos últimos dejan millones de equipos en riesgo sin importar su sistema operativo y no pueden ser solucionados con cualquier simple actualización de software.

Three dimensional abstract backgrounds block pattern

Atrás en ASLR (Address Space Layout Randomization)

"Los errores de software y hardware están en todos lados, pero ASLR es una técnica que los mitiga haciendo que sea difícil explotar los errores", comenta Ben Gras, un investigador de la Universidad Gratuita de Amsterdam quien desarrollo el ataque junto con su compañero de trabajo Kaveh Razvi. "Esta técnica permite que los errores no puedan ser explotados sean explotados de nuevo. De cierta forma, esta técnica nos lleva de regreso a los 90 en términos de seguridad".

Su ataque es particularmente serio debido que los atacantes lo pueden ejecutar con código Javascript, esto significa que con solo visitar un sitio web malicioso se puede ejecutar el ataque; el equipo de investigación, conocido como VUSec, ha liberado un video demostrativo mostrando su ejecución mediante un navegador Firefox. "Nadie ha hecho esto anteriormente desde el contexto de páginas web" comenta Yossi Oren, un investigador en la Universidad Ben-Gurión del Néguev que se especializa en seguridad de micro arquitectura. "Este es un ejemplo muy intrusivo y profundo de esta clase de ataques".

Este también puede ser difícil de corregir como también es fácil de implementar. La técnica de VUSec explota las propiedades más profundas del hardware de computadoras, los microprocesadores generados por Intel, AMD, Nvidia y Samsung. Generando ASLR completamente efectivo de nuevo, los investigadores comentan, puede no requerir solo una rápida actualización de sistema operativo o de navegador pero se tendría que rediseñar y remplazar aquellos chips.

Cracking seguro

El ataque explota la forma en que los microprocesadores y la memoria interactúan: los procesadores tiene un componente llamado unidad de administración de memoria (Memory Management Unit en inglés) que mapea dónde la computadora almacenará programas en su memoria. Para mantener rastreadas aquellas direcciones, el MMU constantemente verifica un directorio llamado tabla de página.

El punto principal de este ataque para VUSec es que los dispositivos comúnmente almacenan la tabla de página en la caché del procesador, un pequeño pedazo de memoria que mantiene acceso frecuente a la información que está cerca de los núcleos del procesador. Esto genera que el chip que sea más rápido y más eficiente.

Pero una pieza de código malicioso en Javascript ejecutado en un sitio web puede escribir hacía la caché también. Y de forma crucial, este puede simultáneamente vigilar que tan rápida la MMU está trabajando. "Por monitorear la MMU muy cerca, Javascript puede encontrar sobre sus propias direcciones, lo cual supuestamente no puede hacer", Gras comenta.

El ataque de los investigadores de VUSec convierte la velocidad de la MMU en una huella reveladora. El código que ataca sobrescribe la caché, una unidad de memoria a la vez, hasta que se ve que la MMU se empieza a ralentizar. Esta es una señal que cualquier parte de la caché sobrescrita fue un pedazo de la tabla de página del MMU que estaba buscando. La MMU reduce su velocidad porque este regresa hacía una copia de la página de la tabla en un acceso aleatorio normal en vez de la caché del procesador.

La MMU tiene que ejecutar cuatro verificaciones separadas en la tabla de página para encontrar la dirección física de cualquier pieza de código dado. Así que el ataque sobrescribe la caché cuatro veces, buscando cuatro lugares en la caché que tengan una pieza de la tabla de página. Cada vez, el programa malicioso identifica el momento en que la MMU se vuelve lenta. Justo cuanto tiempo la MMU toma para alcanzar que la velocidad se reduzca provee una pista de la dirección del código malicioso en la cache y después su ubicación en RAM, además cuando el dispositivo copia el código malicioso de la cache hacía otra memoria, se muestra la información exacta que ASLR trata de esconder del atacante.

Un error profundo para solucionar

Gras de VUSec llegó al Centro de Ciberseguridad Nacional de Países Bajos, el cual ha contactado a todos los fabricantes de chips y compañías de software incluidas Intel, AMD, Samsung, Nvidia, Microsoft, Apple, Google y Mozilla, hace más de tres meses atrás, pero lo investigadores harán publica su investigación después de dar a las compañías una ventana de tiempo para ubicar las fallas. Los investigadores no han liberado código para demostrar el ataque. Pero ellos advierten que atacantes profesionales pueden realizar ingeniería inversa a la técnica que ellos revelarán en cuestión de semanas.

Mientras tanto, Gras sugiere algunas medidas de prevención. Se puede habilitar plugins como NoScript para Firefox y ScriptSafe para Chrome, para bloquear Javascript en páginas web. Y los desarrolladores de navegadores podrían reducir la exactitud de las mediciones de tiempo que permiten scripts, lo que les impide supervisar la velocidad de la MMU.

Al menos una organización ya trabajó en como mitigar el peligro; Apple ha publicado una actualización de software diseñada para "fortalecer" Safari, pero nunca reveló exactamente qué es lo que la actualización hace. Un portavoz a Apple comenta que la compañía también distribuyó un plan de acción hacía otros fabricantes afectados, como las compañías que construyen chips que Apple utiliza.

Una solución completa requerirá reemplazar hardware y no software. Dispositivos necesitarán nuevos chips con nuevas arquitecturas que separen la MMU y la tabla de página de la caché del procesador. "Porque es una capa fundamental, las capas de software antes pueden hacer más difícil ejecutar el exploit, pero estas no pueden ir tan lejos" Gras comenta.

Intel, Microsoft y Mozilla, mientras tanto, han minimizado el problema. "Nosotros hemos determinado que el ataque no representa un problema de seguridad", dice una declaración de Microsoft enviada a WIRED. Intel escribe que la investigación "no representa un cambio significativo en la seguridad de la arquitectura de Intel basada en sistemas". Portavoces de las tres compañías apuntan que el ataque solo nada más representa una amenaza en combinación con otro bug de corrupción de memoria.

Es poco cómodo para Microsoft e Intel señalar que derrotar ASLR por sí solo no permite que alguien vulnere un sistema operativo, Oren menciona. Con un ASLR roto, los atacantes volverán a la búsqueda del tipo de errores de corrupción de memoria común que ASLR hizo inútiles. Los viejos errores podrían aprender nuevos trucos.

El resultado, si las firmas de tecnología no toman de forma seria los ataques hacía ASLR, es que pronto podrían haber nuevas recompensas de nuevas formas de vulnerar dispositivos de millones de usuarios con la mala suerte de hacer clic en la página web equivocada. "Los atacantes siempre se están volviendo más inteligentes" Oren comenta. "Si las computadoras se están volviendo más tontas, los atacantes tienen la ventaja".

Fuente: WIRED LU

Universidad Nacional Autonoma de México Aviso legal |  Créditos |  Staff |  Administración
Copyright © Todos los derechos reservados
UNAM - CERT