In einer neuen akademischen Studie haben Forscher des Georgia Institute of Technology und der Purdue University einen neuartigen WireTap-Angriff enthüllt, der die Schutzmechanismen von Intels Software Guard eXtensions (SGX) umgehen kann, indem er kryptografische Schlüssel direkt aus dem Speicherverkehr auf DDR4-Systemen ausliest.
Wie die Forscher erklärten: „…wir zeigen, wie man ein Gerät bauen kann, mit dem sich der gesamte Speicherverkehr innerhalb eines Computers kostengünstig und einfach physisch untersuchen lässt – in Umgebungen mit lediglich grundlegenden elektrischen Werkzeugen und unter Verwendung von Ausrüstung, die problemlos im Internet erhältlich ist.“
Wenn physischer Zugriff Enklaven übertrumpft
SGX ist in Intels Prozessoren der Serverklasse weit verbreitet und stellt eine vertrauenswürdige Ausführungsumgebung bereit. Dabei werden sensible Anwendungen in Enklaven isoliert, die das Betriebssystem – oder einen Angreifer mit Root-Berechtigungen – am Zugriff auf geschützte Daten hindern.
WireTap zeigt jedoch, dass diese Garantien in Szenarien mit physischem Zugriff von Angreifern auf die Hardware zusammenbrechen. Für Organisationen, die sich bei Blockchain-, Cloud- und Finanztransaktionen auf SGX verlassen, sind die Auswirkungen erheblich.
Der WireTap-Exploit im Detail
Der WireTap-Angriff baut auf jüngeren Forschungsergebnissen auf, etwa dem Battering-RAM-Angriff , der von Forschern offengelegt wurde; beide nutzen Intels deterministische Speicherverschlüsselung aus. Mithilfe eines zwischen CPU und DDR4-Speichermodulen eingesetzten Interposers fängt WireTap sämtliche Daten ab, die den Speicherbus passieren.
Im Gegensatz zu Angriffen aus der Ferne ist WireTap ein physischer Angriff. Das bedeutet, dass Angreifer das System entweder durch Manipulation in der Lieferkette oder durch direkten physischen Zugriff kompromittieren müssen.
Nach der Installation ermöglicht der Interposer den Angreifern, den Datenverkehr zu überwachen und die deterministische Verschlüsselung auszunutzen, um den vollständigen Schlüssel der Quoting Enclave von Intel SGX wiederherzustellen. Mit dem wiederhergestellten ECDSA-Signaturschlüssel kann sich ein Angreifer als echte SGX-Hardware ausgeben, den Attestierungsmechanismus effektiv aushebeln und das Vertrauen in die Integrität der Enklave untergraben.
Grundlegend beruht die Schwachstelle auf einer Einschränkung des Hardwaredesigns von Intels deterministischer Verschlüsselung, die vorhersehbare Ausgaben erzeugt und es Angreifern ermöglicht, den Speicherverkehr als kryptografisches Orakel zu nutzen.
Während Battering RAM sich auf die Verletzung der Integrität konzentrierte, bricht WireTap die Vertraulichkeit – gemeinsam zeigen beide Angriffe die Anfälligkeit des Speicherschutzes von SGX und AMD SEV gegenüber Angreifern mit physischem Zugriff.
Die Bedrohung durch WireTap über das Labor hinaus
Forscher warnen, dass WireTap Blockchain-Ökosysteme wie Phala Network, Secret Network, Crust Network und IntegriTEE beeinträchtigen kann, die auf SGX-basierte Attestierung angewiesen sind, um vertrauliche Transaktionen zu validieren und Belohnungen zu verwalten. Durch den Diebstahl von Attestierungsschlüsseln können Angreifer Enklavenberichte fälschen, sensible Transaktionsdetails offenlegen oder sich unrechtmäßig Belohnungen verschaffen.
Die Kosten des Angriffs sind höher als bei Battering RAM: Während Letzterer mit Ausrüstung für weniger als 50 US-Dollar ausgeführt werden kann, benötigt WireTap Werkzeuge im Wert von etwa 1.000 US-Dollar, darunter einen Logikanalysator. Dennoch betonen die Forscher, dass solche Werkzeuge problemlos online erhältlich sind – ausgefeilte Angreifer mit entsprechendem Budget könnten sie daher durchaus einsetzen.
Risiken ohne verfügbaren Patch reduzieren
Intel reagierte auf die Ergebnisse mit dem Hinweis, dass dieser Exploit außerhalb des SGX-Bedrohungsmodells liege, da er physischen Zugriff auf die Hardware erfordere.
„Solche Angriffe liegen außerhalb des Schutzbereichs, den die auf AES-XTS basierende Speicherverschlüsselung bietet“, erklärte Intel und wies darauf hin, dass die Technologie „nur einen begrenzten Schutz der Vertraulichkeit bietet, jedoch keinen Schutz der Integrität oder vor Replay-Angriffen durch Angreifer mit physischen Zugriffsmöglichkeiten“.
Da Intel weder einen Patch noch eine CVE-Kennung veröffentlichen will, sollten Organisationen die folgenden Maßnahmen ergreifen:
- Physische Sicherheit stärken: Den Zugang zu SGX-fähigen Servern durch strenge Zugangskontrollen in den Einrichtungen beschränken und geprüfte Cloud-Anbieter auswählen, die Zertifizierungen zur physischen Sicherheit durch Dritte vorweisen können.
- Abhängigkeit von SGX-Attestierung verringern: Sicherheitsmodelle für Blockchain, vertrauliches Computing und sensible Workloads diversifizieren, um einzelne Ausfallpunkte zu vermeiden.
- Kontrolle der Lieferkette stärken: Anbieter und Integratoren vor der Bereitstellung auf Risiken durch Hardware-Manipulation prüfen, einschließlich Interposern am Speicherbus.
- Zusätzliche Verschlüsselung: Verschlüsselung auf Anwendungsebene oder speziell für den jeweiligen Workload einsetzen, damit die Daten auch bei Offenlegung der Enklavenschlüssel geschützt bleiben.
- Zero-Trust-Prinzipien anwenden: Das Prinzip der geringsten Rechte, kontinuierliche Überprüfung und identitätszentrierte Zugriffskontrollen durchsetzen, um potenzielle Angriffswege zu begrenzen.
- Überwachung und Reaktion verbessern: Anomalieerkennung einsetzen und Planspiele durchführen, wobei von gefälschter Attestierung oder einer kompromittierten Enklave ausgegangen wird, um die Einsatzbereitschaft zu überprüfen.
Dieser Ansatz entspricht den allgemeineren Best Practices der Sicherheit und unterstreicht, wie wichtig mehrere Schutzebenen sind – nicht nur das Einspielen von Patches.
Warum Hardware allein Sie nicht retten kann
WireTap verdeutlicht einen umfassenderen Trend in der Sicherheitsforschung: das schwindende Vertrauen in Schutzmechanismen auf Hardwareebene, wenn Angreifer direkt mit Speichersystemen interagieren können.
So wie Rowhammer und Spectre architektonische Schwachstellen offenlegten, zeigt WireTap, dass deterministische Verschlüsselung systemische Schwachstellen erzeugt.
Für Sicherheitsteams ist die Lehre eindeutig: Vertrauenswürdige Ausführungsumgebungen sind nicht unverwundbar.
Während SGX und ähnliche Technologien einen starken Schutz gegen Angreifer aus der Ferne bieten, schützen sie kaum noch, sobald physischer Zugriff erlangt wurde. Organisationen sollten den Schutz von Enklaven als eine Sicherheitsebene betrachten, nicht als Allheilmittel.
Die Möglichkeit, dass Angreifer während der Fertigung oder des Vertriebs Interposer einschleusen, macht die Sicherheit der Lieferkette zu einem wesentlichen Bestandteil der Abwehr von Exploits auf Hardwareebene.