Hertzbleed: новая атака по сторонним каналам затрагивает CPU от Intel, AMD

Hertzbleed: новая атака по сторонним каналам затрагивает CPU от Intel, AMD

Hertzbleed: новая атака по сторонним каналам затрагивает CPU от Intel, AMD

Новый вид кибератаки по сторонним каналам, получивший имя Hertzbleed, позволяет злоумышленникам удалённо вытащить криптографические ключи целиком, наблюдая за изменениями частоты процессора.

Этот вектор открывается на современных x86-процессорах от Intel (уязвимость под идентификатором CVE-2022-24436) и AMD (CVE-2022-23823). Дросселирование тактов (Dynamic frequency scaling, DVFS), играющее в Hertzbleed ключевую роль, зависит от потребляемой мощности и обрабатываемых данных.

Как правило, DVFS используется современными процессорами в качестве образного барьера, который не даёт системе выходить за пределы мощности и температуры при высоких нагрузках.

Об атаке Hertzbleed рассказали специалисты университетов Техаса, Иллинойса и Вашингтона. Они объясняют свою находку следующим образом:

«В худшем случае такого рода атаки могут позволить злоумышленнику извлечь с удалённых серверов криптографические ключи, которые в обычных условиях должны быть хорошо защищены. Hertzbleed — вполне состоятельный вектор, применимый на практике».

«Во-первых, Hertzbleed показала, что на x86-процессорах атаки по сторонним каналам можно превратить в тайминг-атаки. Во-вторых, Hertzbleed демонстрирует возможность утечки криптографического кода с помощью анализа времени».

Как отметили в Intel, соответствующая уязвимость затрагивает все процессоры корпорации. Более того, удалённая эксплуатация позволяет злоумышленнику с низкими правами провести кибератаку без какого-либо взаимодействия с пользователем.

Представители AMD тоже прокомментировали находку экспертов, уточнив, что Hertzbleed представляет угрозу для нескольких продуктов, среди которых десктопные, мобильные, серверные и даже установленные в Chromebook процессоры.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Минцифры РФ хочет повысить требования к ПАКам, работающим с ИИ

Миннцифры России сформулировало новые требования к программно-аппаратным комплексам, предназначенным для работы с ИИ. Продукты, соответствующие этим нормам, смогут претендовать на внесение в реестр отечественного софта.

Разработанный в министерстве проект постановления правительства бы направлен на согласование в Минпромторг, а также производителям ПАКов — для обсуждения.

Комментируя новую инициативу для «Ведомостей», представитель Минцифры пояснил: специальные требования подготовлены с учетом нужд отрасли и направлены на поддержку российских разработчиков и вендоров технически сложных решений в сфере ИИ.

Согласно проекту постановления, производители ИИ-комплексов должны иметь собственные дата-центры в России мощностью не менее 10 МВт и обеспечивать производительность не ниже 100 петафлопс в формате FP4, оптимальном для работы с большими языковыми моделями.

В состав оборудования должны входить сетевые адаптеры на 800 Гбит/с или выше с поддержкой прямого доступа к ресурсам через RDMA. Требования к программному обеспечению: хранение не менее 1 эксабайта данных, возможность обучения моделей на 1000 GPU.

Дополнительных льгот для производителей таких ПАКов документ не предусматривает, однако, попав в реестр Минцифры (существующий, новый создаваться не будет), они смогут рассчитывать на господдержку и преференции при госзакупках.

Смогут ли участники рынка дотянуть до высокой планки, выставленной Минцифры, — большой вопрос. Такие под силу разве что крупным исследовательским центрам и таким игрокам, как «Яндекс» и «Сбер».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru