Brechen Sie die Sicherheit von AMD Epyc-Prozessoren für Server

Die Rechenzentrumsprozessoren von AMD, EPYC, sowie die Ryzen Pro- Linie, Secure Encrypted Virtualization- Technologie. Dadurch werden virtuelle Maschinen im laufenden Betrieb entschlüsselt und verschlüsselt, während sie im RAM gespeichert sind, sodass das Host-Betriebssystem, der Hypervisor und Malware auf dem Host-Computer die geschützten virtuellen Maschinen nicht ausspionieren können. Ein deutscher Ermittler hat diese Sicherheit jedoch gerade gebrochen.

Schlechte Nachrichten für die Sicherheit des EPYC-Prozessors

AMD EPYC- Prozessoren verwenden die Secure Encrypted Virtualization- Technologie, die jeder virtuellen Maschine eine Adressraum-ID zuweist, die an einen kryptografischen Schlüssel gebunden ist, um Daten zwischen Speicher- und CPU-Kernen zu verschlüsseln und zu entschlüsseln. Der Schlüssel verlässt das System niemals auf dem Chip und jede VM erhält ihren eigenen Schlüssel.

Dies bedeutet, dass theoretisch selbst ein entführter, böswilliger, Hypervisor, Kernel, Treiber oder anderer privilegierter Code nicht in der Lage sein sollte, den Inhalt einer geschützten virtuellen Maschine zu überprüfen, was eine gute Sicherheitsfunktion darstellt.

Eine als SEVered bezeichnete Technik kann jedoch von einem böswilligen Administrator auf Hostebene oder von Malware in einem Hypervisor oder dergleichen verwendet werden, um den SEV-Schutz zu umgehen und Informationen von der virtuellen Maschine eines Clients oder Benutzers zu kopieren.

Das Problem, so die deutschen AISEC-Forscher von Fraunhofer (Mathias Morbitzer, Manuel Huber, Julian Horsch und Sascha Wessel), sei, dass Hacker auf Host-Ebene die physischen Speicherzuordnungen auf dem Host-PC mithilfe von Standard-Seitentabellen ändern können. Ignorieren des Schutzmechanismus des SEV.

Die Forscher glauben, dass sie eine Methode entwickelt haben, um die Sicherheitsmechanismen der EPYC-Serverchips zu vereiteln. So sehr, dass sie sagten, sie könnten Klartextdaten von einem verschlüsselten Gast über einen Hypervisor und einfache HTTP- oder HTTPS- Anforderungen extrahieren.

Hoffentlich wird AMD diese Chips wie Intel mit seinen Core-Prozessoren und dem gesegneten Meltdown und Spectre aktualisieren.

TheRegister Font