MIT araştırmacıları: “TONTOU saldırısıyla Spectre v2 önlemleri aşılarak Linux parola hash'leri sızdırılabiliyor”

MIT Computer Science and Artificial Intelligence Laboratory (CSAIL) araştırmacıları, Spectre v2 spekülatif yürütme yan kanal saldırılarına karşı geliştirilen güncel korumaları aşarak Linux sistemlerinden hassas verilerin sızdırılmasına olanak sağlayan yeni bir yöntem ortaya çıkardı.

TONTOU adı verilen yöntem, AMD ve Intel işlemcilerde dallanma tahmin mekanizmasını temizlemeye veya izole etmeye dayanan Spectre v2 savunmalarını hedef alıyor. Araştırmacılar bu savunmaları genel olarak “neutralization-based mitigations”, yani nötralizasyon tabanlı önlemler olarak tanımlıyor.

Spectre v2, Branch Target Injection (BTI) olarak da biliniyor ve Spectre sınıfındaki işlemci güvenlik açıklarının bir çeşidini oluşturuyor.

SPECTRE V2 DALLANMA TAHMİN MEKANİZMASINI HEDEF ALIYOR

Modern işlemciler, programların hangi yürütme yolunu izleyeceğini tahmin etmek için dallanma tahmini kullanıyor. Spekülatif yürütme ise işlemcinin, dallanmanın gerçek sonucu henüz kesinleşmeden tahmin edilen yol üzerindeki komutları çalıştırmasına olanak sağlıyor.

Spectre v2 saldırılarında işlemcinin dolaylı dallanma tahmin mekanizması manipüle edilerek, CPU'nun saldırgan tarafından etkilenebilen bir kod yolunda spekülatif olarak komut çalıştırması sağlanabiliyor.

Bu süreç doğrudan yetkisiz bellek erişimi şeklinde gerçekleşmese de spekülatif yürütmenin oluşturduğu mikro mimari izler üzerinden hassas bilgilerin sızdırılmasının önü açılabiliyor.

KORUMA İLE KULLANIM ARASINDAKİ ZAMAN ARALIĞI HEDEF ALINDI

Araştırmacılar, Intel'deki eIBRS ve AMD'deki Safe RET gibi nötralizasyon tabanlı korumalarda, dallanma tahmin mekanizmasının izole edilmesi ile kurbanın dallanması tarafından kullanılması arasında bir zaman aralığı bulunduğunu belirledi.

Mevcut Spectre v2 önlemlerinin, saldırganın dallanma tahmin durumunun temizlenmesinden sonra ancak kullanılmasından önce geçen bu kısa süreyi kendi lehine kullanamayacağı varsayımına dayandığı belirtildi.

MIT CSAIL araştırmacıları Daniël Trujillo ve Doç. Dr. Mengjia Yan ise Time-of-Neutralization to Time-of-Use (TONTOU) olarak adlandırdıkları bu zaman aralığını hedef alan bir yöntem geliştirdi.

Yeni saldırı ilkelinin, işlemcinin mikro mimari durumunun temizlendikten sonra ancak kurban tarafından kullanılmadan önce yeniden zehirlenmesine olanak sağladığı açıklandı.

“ÖZEL ERİŞİM OLMADAN HASSAS VERİLER OKUNABİLİYOR”

Doktora öğrencisi Daniël Trujillo, yöntemin etkisine ilişkin, “Herhangi bir özel erişimi olmayan bir saldırgan, hash'lenmiş parolalar gibi hassas veriler dahil olmak üzere sistem belleğinden rastgele verileri okuyabilir.” ifadelerini kullandı.

Araştırmacılar bunun için Interrupt Injection adı verilen bir saldırı yöntemi geliştirdi.

Trujillo ve Yan, “Yetkisiz kullanıcı programları, çekirdek yürütmesi sırasında gerçekleşecek zamanlayıcı kesmelerini programlayabilir. Böylece çekirdeği kesme işleyicisine yönlenmeye zorlayabilir ve bu işleyiciyi nötralizasyon sonrası zaman aralığında mikro mimari durumları zehirlemek için kullanabiliriz.” açıklamasını yaptı.

Araştırmada, nötralizasyon sonrasındaki zaman penceresinde gerçekleşen kesmelerin işlemcinin dolaylı dallanma tahmin mekanizmasını zehirlemek için kullanılabileceği tespit edildi.

Bu yöntemin farklı dolaylı dallanma türlerine yönelik saldırılara olanak sağlayabildiği belirtildi.

AMD ZEN 2 ÜZERİNDE TONTOU SALDIRISI GERÇEKLEŞTİRİLDİ

Araştırmacılar saldırı modelinde, saldırganın hedef Linux sisteminde istediği yetkisiz kodu çalıştırabildiğini ancak çekirdek belleğine doğrudan erişim yetkisinin bulunmadığını varsaydı.

Güncel Spectre v2 önlemlerinin etkin olduğu AMD Zen 2 tabanlı sistemde TONTOU saldırısının bütün aşamaları başarıyla gerçekleştirildi.

Araştırmacılar bu aşamaları nötralizasyon, yönlendirme, zehirleme ve zehirlenmiş dallanma tahmin mekanizmasının kullanılması olarak sıraladı.

Saldırının başarıyla gerçekleştirilebilmesi için çekirdek kontrol akışının yönlendirilmesi, kesmelerin nötralizasyon sonrası son derece kısa zaman aralığıyla hassas biçimde eşleştirilmesi ve kesme işleyicisinin hedef dolaylı dallanmayla bağlantılı tahmin girdisini zehirlemek için kullanılması gerektiği belirtildi.

Araştırmacılar bu sorunları donanım kesmelerini tetikleyen zamanlayıcıların kurulması, kesmelerin sık aralıklarla enjekte edilmesi ve aktif ile pasif zehirleme yöntemlerinin kullanılmasıyla aşmaya çalıştı.

LINUX ÇEKİRDEK BELLEĞİNDEN SANİYEDE 5,47 BAYT SIZDIRILDI

TONTOU saldırısı hem Intel hem de AMD işlemciler üzerinde test edildi.

Araştırmacılar, Linux 6.14.0-37-generic ve 16 GB RAM bulunan AMD Zen 2 sisteminde çekirdek belleğinden rastgele verileri saniyede 5,47 bayt hızla ve yüzde 91,97 doğrulukla sızdırabildiklerini gösterdi.

Sızdırılan bilgiler arasında Linux sistemlerinde kullanıcıların parola hash'lerini saklayan /etc/shadow dosyasının içeriği de yer aldı.

Araştırmacılar 10 ayrı test gerçekleştirdi. TONTOU saldırısı bu denemelerin beşinde /etc/shadow dosyasını başarıyla buldu ve içeriğini çıkardı.

Her saldırı girişiminin ortalama 18 dakika sürdüğü bildirildi.

INTEL SİSTEMLERDE DE UYGULANABİLİYOR

Araştırmacılar saldırının Intel işlemcili sistemlerde de gerçekleştirilebildiğini ancak ek yazılım gereksinimlerinin saldırıyı daha karmaşık hale getirdiğini belirtti.

Interrupt Injection yönteminin saldırganın kontrol ettiği şekilde Return Stack Buffer (RSB) yapısının zehirlenmesine olanak sağlayabildiği ve bunun dönüş hedeflerinde spekülatif yanlış tahminlere yol açabildiği kaydedildi.

Pasif RSB kirletme yönteminin daha düşük güvenilirliğe sahip olması nedeniyle araştırmacılar Interrupt Injection tekniğini daha önce açıklanan Inception saldırısıyla birleştirdi.

Daniël Trujillo, daha önce AMD Zen işlemcilerden hassas bilgi sızdırılmasını konu alan Inception saldırısının geliştirilmesine de katkıda bulunmuştu.

AMD SAFE RET UYGULAMASINA İŞARET ETTİ

AMD, araştırmayla birlikte yayımladığı güvenlik duyurusunda Interrupt Injection sorununun, olası bilgi sızdırma saldırılarına karşı geliştirilen Safe RET korumasının Linux üzerindeki uygulanma biçimiyle bağlantılı göründüğünü bildirdi.

Araştırmacılar TONTOU saldırısına ilişkin bulgularını Black Hat USA güvenlik konferansında sundu.

Daniël Trujillo ve Doç. Dr. Mengjia Yan'ın araştırmanın teknik ayrıntılarını ayrıca 27-29 Ekim tarihleri arasında düzenlenecek USENIX Security 2026'da paylaşacağı bildirildi.

Kaynak: Beykozun Sesi