Groot lek ontdekt in processors die in bijna elke moderne computer zitten

Om het lek te kunnen misbruiken, is niet meer nodig dan het verstoppen van een paar regels code in een advertentie op een website. Zolang de onwetende bezoeker deze site open heeft staan, lekt hij informatie.  

Het lek, dat dinsdagavond door Intel openbaar werd gemaakt, maakt gebruik van een fundamentele ontwerpfout in de processors van Intel die in laptops en desktops vanaf 2008 zitten. Om de snelste chips te maken, haalt Intel een trucje uit: de processor werkt alvast vooruit in afwachting van een rekenopdracht. De hardware gokt als het ware welke informatie een gebruiker nodig heeft. Daar maakt RIDL (Rogue In-Flight Data Load), zoals het nieuwe lek door de VU is genoemd, misbruik van: het vraagt niet-bestaande informatie op van de chip en in plaats van een foutmelding, krijgt het echte, recent opgeslagen informatie terug. Door deze handeling te herhalen, kan een aanvaller waardevolle informatie uit het geheugen van een computer halen.

Herbert Bos, hoogleraar Systems and Network Security aan de VU en medeontdekker van het lek, toont de vondst dat hedendaagse processors zo complex zijn geworden dat chipmakers er maar niet in slagen de veiligheid onder controle te krijgen. Vorig jaar werden er ook al twee flinke lekkages in processors ontdekt: Spectre en Meltdown geheten. Beide lekken werden gedicht, maar dat gebeurde provisorisch. Aangezien de kwetsbaarheid in de hardware zit, en niet zoals bij de meeste lekken in de software, is deze lastig te verhelpen. Feitelijk kan dat alleen met een omweg, via software-updates.

Levendige handel

De onderzoekers meldden het lek in september 2018 bij Intel. Dat is een gebruikelijk procedé bij onderzoekers en hackers die geen kwade bedoelingen hebben; op deze manier krijgen fabrikanten ruim de tijd hun lekken te dichten. Het is echter de vraag of de door de onderzoekers van de VU ontdekte kwetsbaarheid niet toch al langer wordt misbruikt. Er bestaat een levendige handel in dergelijke grote lekken. Criminelen of geheime diensten hebben er veel geld voor over. De Nederlandse onderzoekers kregen 100.000 dollar van Intel voor het melden van hun ontdekking.

Volgens Bos ligt nu een nieuw jachtgebied open. “We hebben er simpelweg geen idee van hoeveel kwetsbaarheden in hardware er nog voor het grijpen liggen. Als we niet meer op onze hardware kunnen vertrouwen, valt het fundament weg onder al onze pogingen om software veilig te maken.” 

Dat er wereldwijd een zoektocht gaande is naar gaten in soft- en hardware om die vervolgens te misbruiken voor spionage, werd dinsdag nog eens aangetoond. De Financial Times berichtte over een lek in de razend populaire chatdienst WhatsApp die door het Israëlische bedrijf NSO Group gebruikt werd om kwaadaardige software op telefoons te plaatsen. NSO Group kon de malware bij slachtoffers injecteren door ze simpelweg via WhatsApp te bellen. De slachtoffers hoefden niet op te nemen.

Kwetsbaar

Ook RIDL zou kunnen worden ingezet om slachtoffers af te luisteren, zolang fabrikanten geen updates hebben. Dit keer zijn computers met Intel-processors kwetsbaar. Naar schatting gaat het om ruwweg driekwart van alle desktops en laptops die bij consumenten thuis en in kantoren staan.  

Het lek bij Intel toont enige gelijkenis met de situatie bij vliegtuigfabrikant Boeing: door sneller en beter te willen zijn dan de concurrentie, zijn concessies gedaan aan de veiligheid. Boeing moet na twee ongelukken noodgedwongen vliegtuigen uit de 737-MAX-serie aan de grond houden. Bij Intel zijn de aangetroffen kwetsbaarheden een onbedoeld gevolg van de pogingen de snelste te willen zijn. Intel zegt in een reactie dat het lek met diverse software-updates te dichten is. “We moedigen iedereen aan om systemen altijd te updaten. Dat is de beste manier om veilig te blijven.”