Onderzoekers hebben een techniek gevonden die toelaat het Spectre-lek vanop afstand te misbruiken. Daardoor zouden veel meer computers kwetsbaar kunnen zijn voor aanvallen.
Het Spectre-lek zorgde, samen met een gelijkaardige Meltdown bug, begin dit jaar voor controverse, en een hele reeks patches. Door een ontwerpfout bleek het mogelijk om wachtwoorden en gegevens uit het geheugen van verschillende veelgebruikte chips te halen. Daarbij waren zowat alle servers die de voorbije tien jaar gebouwd werden, kwetsbaar.
Enig lichtpuntje in de Spectre-saga was dat een mogelijke hacker fysieke toegang tot de machine nodig had. Aanvallers die Spectre wilden misbruiken moesten hun malware dus eerst op de kwetsbare machine zien te installeren, voordat er wachtwoorden en andere gevoelige informatie kon worden buitgemaakt.
Dat blijkt nu niet meer zo. Onderzoekers aan de universiteit van Graz hebben NetSpectre gevonden, een techniek die het mogelijk maakt om informatie op te halen uit het chip-lek, via een netwerkconnectie. Zo zijn er mogelijk veel meer computers en andere toestellen kwetsbaar dan eerst gedacht.
Lekken via het net
“We tonen aan dat Spectre-aanvallen niet per se een lokale uitvoering van de code nodig hebben, maar ook vanop afstand kunnen worden uitgevoerd,” vertelt Michael Schwartz, een van de onderzoekers, aan techsite The Register. “Verder blijkt ook dat gegevens niet alleen via de cache kunnen worden gelekt.” De onderzoekers hebben hun studie online gegooid, en daaruit blijkt onder meer dat het proces om gegevens op deze manier buit te maken bijzonder traag gaat. De techniek gebruikt een speciaal kanaal, dat 15 bits per uur lekt, waardoor het dus wel enkele dagen kan duren voor een paswoord of sleutel wordt buitgemaakt.
Wel gelooft Schwartz dat bedrijven zich tegen de techniek moeten wapenen. Omdat het hele proces vrij veel manuren vereist, zal hij waarschijnlijk vooral worden ingezet voor belangrijke doelwitten, aldus Schwartz. De man geeft ook aan dat de techniek niet zou werken voor systemen die volledig gepatcht zijn tegen Spectre.
Fout opgemerkt of meer nieuws? Meld het hier