Verschlüsselung: GnuPG bremst neuen Seitenkanalangriff

Australische Forscher zeigen in einer aktuellen Veröffentlichung, wie man prinzipiell von einer Virtuellen Maschine aus die Schlüssel einer zweiten VM auf demselben PC ausspionieren kann. Ein GnuPG-Update erschwert das jetzt zumindest.

Yuval Yarom und Katrina Falkner verwenden in Flush+Reload: a High Resolution, Low Noise, L3 Cache Side-Channel Attack einen klassischen Seitenkanalangriff: Auf bestimmten CPUs teilen sich die aktiven Virtuellen Maschinen den Level-3-Cache (L3). Zwar kann ein Programm nicht ohne weiteres den L3-Cache auslesen; doch durch gezielte Speicherzugriffe kann es durch Messen der Zugriffszeiten feststellen, ob sich bestimmter Code derzeit im L3-Cache befindet oder aus dem Hauptspeicher geladen werden muss.

Hinzu kommt, dass durch eine speicherplatzsparende Funktion namens Memory De-Duplication beispielsweise zwei Instanzen eines Verschlüsselungsprogramms unter Umständen nur einmal im Speicher liegen. Ganz grob vereinfacht kann ein Programm somit herausfinden, welche Code-Sequenzen in der Nachbar-VM gerade aktiv sind. Durch eine spezielle Technik, die die Australier "Flush+Reload" nennen, können die Forscher damit dann über 98 Prozent des geheimen Schlüssels einer Verschlüsselungsoperation ausspionieren, die in einer anderen VM stattfindet. Sie demonstrierten dies mit der verbreiteten Verschlüsselungs-Software GnuPG.

Deren Autor Werner Koch hat jetzt als Reaktion auf diese Forschungsergebnisse die Version GnuPG 1.4.14 als Security-Fix veröffentlicht, die den Angriff zumindest deutlich erschweren soll. Ganz verhindern lassen sich Seitenkanalangriffe auf Multi-User-Systemen -- und somit auch auf Systemen mit mehreren parallel aktiven VMs -- grundsätzlich nicht (siehe etwa Hey, You, Get Off of My Cloud: Exploring Information Leakage in Third-Party Compute Clouds). Sie sind auch keineswegs auf GnuPG beschränkt; bereits 2010 demonstrierten Tromer et al. in Efficient Cache Attacks on AES, and Countermeasures einen verwandten Angriff namens "Prime+Probe" am Beispiel der Dmcrypt-Verschlüsselung in Linux. (ju)