Hertzbleed: новая атака по сторонним каналам затрагивает CPU от Intel, AMD

Hertzbleed: новая атака по сторонним каналам затрагивает CPU от Intel, AMD

Hertzbleed: новая атака по сторонним каналам затрагивает CPU от Intel, AMD

Новый вид кибератаки по сторонним каналам, получивший имя Hertzbleed, позволяет злоумышленникам удалённо вытащить криптографические ключи целиком, наблюдая за изменениями частоты процессора.

Этот вектор открывается на современных x86-процессорах от Intel (уязвимость под идентификатором CVE-2022-24436) и AMD (CVE-2022-23823). Дросселирование тактов (Dynamic frequency scaling, DVFS), играющее в Hertzbleed ключевую роль, зависит от потребляемой мощности и обрабатываемых данных.

Как правило, DVFS используется современными процессорами в качестве образного барьера, который не даёт системе выходить за пределы мощности и температуры при высоких нагрузках.

Об атаке Hertzbleed рассказали специалисты университетов Техаса, Иллинойса и Вашингтона. Они объясняют свою находку следующим образом:

«В худшем случае такого рода атаки могут позволить злоумышленнику извлечь с удалённых серверов криптографические ключи, которые в обычных условиях должны быть хорошо защищены. Hertzbleed — вполне состоятельный вектор, применимый на практике».

«Во-первых, Hertzbleed показала, что на x86-процессорах атаки по сторонним каналам можно превратить в тайминг-атаки. Во-вторых, Hertzbleed демонстрирует возможность утечки криптографического кода с помощью анализа времени».

Как отметили в Intel, соответствующая уязвимость затрагивает все процессоры корпорации. Более того, удалённая эксплуатация позволяет злоумышленнику с низкими правами провести кибератаку без какого-либо взаимодействия с пользователем.

Представители AMD тоже прокомментировали находку экспертов, уточнив, что Hertzbleed представляет угрозу для нескольких продуктов, среди которых десктопные, мобильные, серверные и даже установленные в Chromebook процессоры.

Владельцы iPhone останутся без цифрового рубля в банковских приложениях

Пользователи iPhone не смогут открыть кошелёк цифрового рубля через банковские приложения 1 сентября, сообщили источники в финансовых организациях и среди разработчиков. Банкам пока не удаётся опубликовать в App Store сборки с новой функцией.

Цифровой рубль войдёт в обращение как третья форма российской валюты наряду с наличными и безналичными деньгами.

Доступ к нему должен появиться в приложениях 21 значимого банка, включая Сбербанк, ВТБ и Альфа-банк. Однако ВТБ, РСХБ и банк «Россия» пока подтвердили запуск только на Android.

По словам источников «Ведомостей», приложение с цифровым рублём трудно замаскировать под безобидную утилиту. Оно использует российские криптографические стандарты и обращается к инфраструктуре Банка России. Модераторы Apple могут связать такую сборку с санкционным банком и отклонить её ещё до публикации.

Есть и отдельная техническая проблема. Для доступа к платформе цифрового рубля требуется сертифицированное средство криптографической защиты информации.

Подходящие решения существуют для Android и веб-версий, но совместимого и сертифицированного варианта для нативных приложений iOS, по данным источника, пока нет.

ЦБ поясняет, что владельцы устройств Apple смогут пользоваться цифровыми рублями при наличии актуальной версии банковского приложения с нужной функцией. Вот только получить такую версию к 1 сентября и есть главная задача со звёздочкой.

В качестве обходных вариантов остаются веб-банк и установка приложения сотрудником в офисе или через банковского курьера. Возвращать старые программы с помощью iMazing тоже больше не получится: 26 августа Apple закрыла этот способ.

Напомним, с 1 сентября 2026 года «Аэрофлот» начнёт принимать цифровые рубли при оплате авиабилетов. Новый способ расчёта появится на сайте перевозчика и в его собственных офисах продаж. При покупке билета онлайн пользователю предложат выбрать пункт «Цифровой рубль». В тот же день цифровые рубли начнёт принимать МТС, ими можно будет оплачивать услуги, подключённые к МТС Pay. К запуску также готовятся «Ростелеком» и «Мегафон».

RSS: Новости на портале Anti-Malware.ru