Aggiornamento riguardante la nuova ricerca sull’analisi side-channel

Dettagli e informazioni sulle mitigazioni per la Variante 4

Di Leslie Culbertson

Dopo la divulgazione nel gennaio scorso, da parte di Google Project Zero (GPZ)*, di metodi di analisi di tipo side-channel basati su esecuzione speculativa, Intel ha continuato a collaborare con i ricercatori di tutto il settore per capire se metodi simili potevano essere utilizzati in altre aree. Sappiamo che le nuove categorie di exploit di sicurezza spesso seguono un ciclo di vita prevedibile, che può includere nuovi derivati ​​dell’exploit originale.

Prevedendo che questa categoria di exploit side-channel non sarebbe stata diversa, uno dei passi che abbiamo intrapreso all’inizio di quest’anno è stato l’espansione del nostro Bug Bounty Program per supportare e accelerare l’identificazione di nuovi metodi. La risposta a tale programma è stata incoraggiante e siamo grati per il costante rapporto di collaborazione con la comunità di ricerca.

Ulteriori informazioni: Exploit di sicurezza e prodotti Intel® (cartella stampa) | Risultati della ricerca sulla sicurezza (Intel.com)

Come parte di questo continuo impegno, oggi Intel e altri partner del settore forniscono dettagli e informazioni di mitigazione per un nuovo derivato delle vulnerabilità originarie, che può colpire Intel e altri produttori di chip. Questo nuovo derivato si chiama Variante 4 e viene divulgato congiuntamente da GPZ e Microsoft Security Response Center (MSRC).*

Nello spirito dell’iniziale impegno nei confronti della sicurezza da parte di Intel, vorrei spiegare che cos’è questa nuova variante e in che modo i clienti possono proteggersi. Vorrei iniziare dicendo che non abbiamo registrato alcuna segnalazione indicante che questo metodo sia stato utilizzato in exploit nel mondo reale. Inoltre, esistono diversi modi per i consumatori e i professionisti IT di proteggere i loro sistemi contro potenziali exploit, tra cui mitigazioni basate su browser che sono già state implementate e che sono disponibili per l’uso già oggi.

Informazioni sulla Variante 4

Come le altre varianti di GPZ, la Variante 4 utilizza l’esecuzione speculativa, una caratteristica comune alle più moderne architetture di processore, per mostrare potenzialmente determinati tipi di dati attraverso un canale laterale. In questo caso, i ricercatori hanno dimostrato la Variante 4 in un ambiente di runtime basato su linguaggio. Anche se non siamo a conoscenza di exploit di successo del browser, l’uso più comune dei runtime, come JavaScript, avviene nei browser Web.

A partire da gennaio, la maggior parte dei principali sviluppatori di browser ha implementato mitigazioni per la Variante 1 nei loro runtime gestiti, mitigazioni che aumentano sostanzialmente la difficoltà di sfruttare i canali laterali in un browser Web. Queste mitigazioni sono applicabili anche alla Variante 4 e sono disponibili per i consumatori già oggi. Tuttavia, per garantire un’opzione per la mitigazione completa e per prevenire che questo metodo venga utilizzato in altri modi, Intel e i suoi partner del settore ne stanno offrendo un’ulteriore specifica per la Variante 4, costituita da una combinazione di microcodice e aggiornamenti software.

Abbiamo già consegnato l’aggiornamento del microcodice per la Variante 4 in versione beta ai produttori di sistemi OEM e ai fornitori di software di sistema e riteniamo che verrà rilasciata nel BIOS di produzione e negli aggiornamenti software nelle prossime settimane. Questa mitigazione verrà impostata su off di default, fornendo ai clienti la scelta se abilitarla. Prevediamo che, allo stesso modo, la maggior parte dei partner software del settore utilizzerà l’opzione off di default. In questa configurazione, non abbiamo rilevato alcun impatto sulle prestazioni. Se abilitata, abbiamo riscontrato un impatto sulle prestazioni compreso approssimativamente tra il 2 e l’8% in base ai punteggi complessivi di benchmark come SYSmark® 2014 SE e SPEC Integer Rate nei sistemi di test client1 e server.2

Questo stesso aggiornamento include anche il microcodice che risolve la Variante 3a (Rogue System Register Read), che è stato precedentemente documentato pubblicamente da Arm* a gennaio. Non abbiamo rilevato alcun impatto significativo sulle prestazioni con i benchmark client o server con la mitigazione della Variante 3a.3 Abbiamo riunito questi due aggiornamenti di microcodice per semplificare il processo per i nostri partner del settore e clienti. Continueremo ad implementare questo approccio anche in futuro, dato che riteniamo che un processo di aggiornamento maggiormente prevedibile e consolidato sia utile per l’intero ecosistema.

Abbiamo fornito ulteriori informazioni sui prodotti Intel® potenzialmente interessati nella pagina del Centro sicurezza dei prodotti, oltre che in white paper e altre risorse che forniscono indicazioni per aiutare i professionisti IT a valutare il livello di rischio nei loro ambienti. Inoltre, abbiamo aggiornato il nostro sito Web sull’impegno nei confronti della sicurezza come prima priorità con un elenco di nuove domande ricorrenti per aiutare chiunque abbia bisogno di maggiori informazioni. Come in passato, continuo a incoraggiare tutti gli utenti a mantenere aggiornati i loro sistemi, in quanto si tratta di uno dei modi più semplici per assicurarsi di disporre sempre delle protezioni più recenti.

Proteggere i dati dei nostri clienti e garantire la sicurezza dei nostri prodotti rimangono priorità fondamentali per me e per tutti noi in Intel. Proseguiremo le ricerche sui metodi di sicurezza side-channel e continueremo a collaborare con i partner del settore per fornire ai clienti le protezioni di cui hanno bisogno. Siamo fiduciosi che saremo in grado di sviluppare mitigazioni per i prodotti Intel per eventuali problemi futuri di tipo side-channel.

A nome dell’intero Team Intel, ringrazio i nostri partner del settore e i nostri clienti per il loro costante supporto.

Leslie Culbertson è Executive Vice President e General Manager di Product Assurance and Security di Intel Corporation.


1 Le misurazioni sui client sono basate su una piattaforma di riferimento Intel interna e su microprocessori Intel® Core™ di ottava generazione per PC desktop. Nello specifico, l’impatto osservato sulle prestazioni è stato del 4% in base a misurazioni effettuate con SYSmark 2014 SE punteggio complessivo, del 2% in base a misurazioni con SPECint_rate_base2006 (n copie) punteggio totale e dell’8% in base a misurazioni effettuate con SPECint_rate_base2006 (1 copia) punteggio totale.

2 Le misurazioni sui server sono basate su piattaforme di riferimento Intel interne e sulla famiglia di processori scalabili Intel® Xeon® (denominati in precedenza Skylake). Nello specifico, l’impatto osservato sulle prestazioni è stato del 3% in base a misurazioni effettuate con SPECint_rate_base2006 (n copie) punteggio totale e dell’8% in base a misurazioni effettuate con SPECint_rate_base2006 (1 copia) punteggio totale.

3 Impatto sulle prestazioni dello 0-1%

I risultati dei benchmark riportati da Intel potrebbero dover essere aggiornati man mano che vengono eseguiti test aggiuntivi. I risultati dipendono dalle configurazioni specifiche della piattaforma e dai carichi di lavoro utilizzati durante i test e potrebbero non essere applicabili ai componenti, sistemi informatici o carichi di lavoro di particolari utenti. I risultati non sono necessariamente rappresentativi di altri benchmark e i risultati di benchmark diversi potrebbero indicare un impatto maggiore o minore derivante dalle mitigazioni degli exploit.

Il software e i carichi di lavoro utilizzati nei test delle prestazioni possono essere stati ottimizzati per le prestazioni solo su microprocessori Intel®.

I test delle prestazioni, come SYSmark e MobileMark, sono calcolati utilizzando specifici sistemi computer, componenti, software, operazioni e funzioni. Qualsiasi modifica a uno di questi fattori può determinare risultati diversi. Gli acquirenti dovrebbero consultare altre fonti di informazioni e test prestazionali per valutare appieno i prodotti che intendono acquistare, nonché le prestazioni di tali prodotti se abbinati ad altri prodotti. Per informazioni più complete, visitare il sito Web all’indirizzo http://www.intel.com/performance.

About Intel
Intel (NASDAQ: INTC) espande i confini della tecnologia per rendere possibili le esperienze più straordinarie. Per informazioni su Intel potete consultare i siti web newsroom.intel.it e intel.it.

Intel and the Intel logo are trademarks of Intel Corporation in the United States and other countries.

*Other names and brands may be claimed as the property of others.