Dans une nouvelle étude universitaire, des chercheurs du Georgia Institute of Technology et de Purdue University ont révélé une nouvelle attaque WireTap capable de contourner les protections des Software Guard eXtensions (SGX) d’Intel en extrayant directement des clés cryptographiques du trafic mémoire sur des systèmes DDR4.
Comme l’ont expliqué les chercheurs: « …on peut construire à peu de frais et facilement un dispositif permettant d’inspecter physiquement l’ensemble du trafic mémoire à l’intérieur d’un ordinateur, dans des environnements équipés uniquement d’outils électriques de base et avec du matériel facilement achetable sur Internet. »
Quand l’accès physique vient à bout des enclaves
SGX est largement adopté dans les processeurs Intel destinés aux serveurs pour fournir un environnement d’exécution de confiance, isolant les applications sensibles au sein d’enclaves qui empêchent le système d’exploitation — ou un attaquant disposant de privilèges root — d’accéder aux données protégées.
Cependant, WireTap montre que ces garanties s’effondrent lorsque des adversaires disposent d’un accès physique au matériel. Pour les organisations qui s’appuient sur SGX pour sécuriser la blockchain, le cloud et les transactions financières, les conséquences sont importantes.
Au cœur de l’exploit WireTap
L’attaque WireTap s’appuie sur des travaux récents, notamment l’attaque Battering RAM, décrite par des chercheurs, ces deux attaques exploitant le chiffrement mémoire déterministe d’Intel. En insérant un interposeur entre le processeur et les modules de mémoire DDR4, WireTap intercepte toutes les données circulant sur le bus mémoire.
Contrairement aux exploits à distance, WireTap est une attaque physique. Les adversaires doivent donc compromettre le système, soit en l’insérant dans la chaîne d’approvisionnement, soit en y accédant directement physiquement.
Une fois installé, l’interposeur permet aux attaquants de surveiller le trafic et d’exploiter le chiffrement déterministe pour récupérer intégralement la clé de l’enclave de citation d’Intel SGX. Avec la clé de signature ECDSA récupérée, un attaquant peut se faire passer pour un matériel SGX authentique, neutralisant de fait le mécanisme d’attestation et sapant la confiance dans l’intégrité de l’enclave.
Fondamentalement, la faille provient d’une limitation de conception matérielle du chiffrement déterministe d’Intel, qui produit des sorties prévisibles permettant aux adversaires d’utiliser le trafic mémoire comme oracle cryptographique.
Alors que Battering RAM visait à briser l’intégrité, WireTap compromet la confidentialité — montrant ensemble la fragilité des protections mémoire de SGX et d’AMD SEV face à des adversaires disposant d’un accès physique.
La menace de WireTap au-delà du laboratoire
Les chercheurs avertissent que WireTap peut perturber des écosystèmes blockchain tels que Phala Network, Secret Network, Crust Network et IntegriTEE, qui dépendent de l’attestation fondée sur SGX pour valider les transactions confidentielles et gérer les récompenses. En volant les clés d’attestation, les attaquants peuvent falsifier les rapports d’enclave, exposer des détails sensibles sur les transactions ou obtenir illégitimement des récompenses.
Le coût de l’attaque est supérieur à celui de Battering RAM : alors que cette dernière peut être menée avec moins de 50 dollars US de matériel, WireTap nécessite environ 1 000 dollars US d’outils, dont un analyseur logique. Les chercheurs soulignent toutefois que ces outils sont facilement accessibles en ligne, ce qui signifie que des attaquants sophistiqués disposant d’un budget pourraient tout à fait les déployer.
Réduire les risques en l’absence de correctif
Intel a réagi aux résultats en précisant que cet exploit sort du modèle de menace de SGX, puisqu’il nécessite un accès physique au matériel.
« De telles attaques ne relèvent pas du périmètre de protection offert par le chiffrement mémoire fondé sur AES-XTS », a déclaré Intel, en précisant que cette technologie « fournit une protection limitée de la confidentialité, mais aucune protection de l’intégrité ni contre les attaques par rejeu face à des attaquants disposant de capacités physiques. »
Intel ne prévoyant pas de publier de correctif ni d’attribuer de référence CVE, les organisations devraient adopter les mesures suivantes :
- Renforcer la sécurité physique : Restreindre l’accès aux serveurs compatibles SGX au moyen de contrôles stricts des installations et de fournisseurs cloud capables de démontrer qu’ils disposent de certifications tierces en matière de sécurité physique.
- Réduire la dépendance à l’attestation SGX : Diversifier les modèles de sécurité pour la blockchain, l’informatique confidentielle et les charges de travail sensibles afin d’éviter les points de défaillance uniques.
- Renforcer la surveillance de la chaîne d’approvisionnement : Évaluer les fournisseurs et les intégrateurs afin de détecter les risques de manipulation du matériel, notamment l’insertion d’interposeurs sur le bus mémoire, avant le déploiement.
- Ajouter une couche de chiffrement : Appliquer un chiffrement au niveau des applications ou propre à la charge de travail afin que les données restent protégées même si les clés d’enclave sont exposées.
- Adopter les principes du zero trust : Appliquer le principe du moindre privilège, une vérification continue et des contrôles d’accès centrés sur l’identité afin de limiter les voies d’exploitation potentielles.
- Améliorer la surveillance et la réponse : Déployer une détection des anomalies et mener des exercices sur table, en partant de l’hypothèse d’une usurpation de l’attestation ou d’une compromission de l’enclave, afin de vérifier l’état de préparation.
Cette approche s’inscrit dans les bonnes pratiques générales de sécurité et souligne la nécessité de disposer de plusieurs couches de protection, plutôt que de se contenter d’appliquer des correctifs.
Pourquoi le matériel seul ne peut pas vous protéger
WireTap met en lumière une tendance plus large de la recherche en sécurité : l’érosion de la confiance dans les protections matérielles lorsque des adversaires peuvent interagir directement avec les systèmes mémoire.
Tout comme Rowhammer et Spectre ont révélé des faiblesses architecturales, WireTap montre que le chiffrement déterministe crée des vulnérabilités systémiques.
Pour les équipes de sécurité, la leçon est claire : les environnements d’exécution de confiance ne sont pas invulnérables.
Si SGX et les technologies similaires offrent de solides défenses contre les adversaires à distance, elles protègent peu dès lors qu’un accès physique a été obtenu. Les organisations devraient considérer les protections des enclaves comme une couche de sécurité parmi d’autres, et non comme une panacée.
La possibilité que des attaquants insèrent des interposeurs pendant la fabrication ou la distribution fait de la sécurité de la chaîne d’approvisionnement un élément essentiel de la défense contre les exploits matériels.