CPU-kwetsbaarheden Spectre en Meltdown: beveiliging van processors

Daar gebruiken out-of-order-CPU’s interne planningslogica, register-renaming en meerdere tegelijkertijd inzetbare rekenunits voor verschillende taken voor, zoals aparte units voor gehele getallen, floatingpoint-berekeningen en vectorberekeningen.

Dan kan de CPU bijvoorbeeld al een gehele-getallenoptelling uitvoeren terwijl een volgens de programmalogica voorafgaande floatingpoint-bewerking nog op gegevens wacht.

Om nog meer prestaties te winnen, voeren moderne processors sommige commando’s als het ware zelfs ‘op goed geluk’ uit (speculative execution). Daarbij maakt de CPU aannames over het verdere verloop van een programma, bijvoorbeeld met behulp van de zogeheten sprongvoorspelling, en voert de voorspelde commando’s speculatief uit.

Achteraf kan echter blijken dat een bewerking overbodig was of zelfs uitdrukkelijk verboden – bijvoorbeeld omdat die een RAM-gebied uitleest waarvoor hij eigenlijk geen toegangsrechten heeft.

Dergelijke bewerkingen noemen we transient omdat de CPU ze daarna weer verwijdert – juist omdat ze overbodig of ongeoorloofd waren. Maar transiente bewerkingen laten meetbare sporen achter, bijvoorbeeld in het snelle tussengeheugen, de cache. Aanvallers kunnen dergelijke effecten misbruiken als een zogeheten sidechannel om gevoelige gegevens uit te lezen. Daarom heten dit ook sidechannel-aanvallen.

De naam Spectre – het Engelse woord betekent zoiets als schim – verwijst naar het misbruik van speculatieve uitvoering.

Het woord Meltdown betekent op zijn beurt zoiets als kernsmelting en verwijst naar een aanval op de geheugenisolatie tussen gebruikerstoepassingen en de kernel van het besturingssysteem – dus tussen de user- en de kernelspace.

Concreet gaat het erom dat je met software die in de userspace draait, toegang krijgt tot de eigenlijk afgeschermde kernelspace. Vooral bij Intel-processors was het mogelijk om via out-of-order-toegang tot kerneladressen informatie op te halen waar een gebruikersproces geen toegang toe zou mogen hebben.

De fout zit hem in het feit dat de CPU de toegangsrechten niet vroeg genoeg controleert. De processor breekt de illegale toegang wel af, maar de tijdelijk gelezen gegevens kunnen de cachetoestand eerder al beïnvloeden. Omdat de cache gegevens veel sneller levert dan het werkgeheugen, duren toegangen verschillend lang. Die verschillen in toegangstijd kunnen worden misbruikt als sidechannel. Je hebt het dan ook over timing-based aanvallen.

Zo kan schadelijke code die parallel met een ander proces draait, gericht een bepaald adresbereik (een page) uit alle caches wissen (page flush). Vervolgens wacht de malware even, laadt die page daarna opnieuw (reload) en meet de benodigde tijd.

Als het opnieuw laden bijzonder snel gaat, had het andere proces die page eerder opgevraagd. Daaruit trekt de schadelijke code conclusies over welke gegevens het doelproces verwerkt.

In de praktijk kun je daarmee wachtwoorden en geheime sleutels uit het kernelgeheugen halen.

Spectre zorgt er op zijn beurt voor dat eigenlijk onschuldige programma’s in het speculatieve pad bij gegevens komen die ze volgens de softwarelogica niet zouden mogen gebruiken. Door de sprongvoorspelling (branch prediction) gericht te trainen, kun je bijvoorbeeld speculatieve toegang tot geheugengebieden buiten de geldige arraygrenzen uitlokken.

De CPU verandert daarbij de cachetoestanden op basis van gegevens die volgens de softwarelogica nooit hadden mogen meespelen. Spectre-variant 1 (Bounds Check Bypass, v1) is een voorbeeld van die aanvalsmethode. Het is lastig om het systeem daartegen te beveiligen: zelfs als een app goed controleert of een arraytoegang binnen het geldige adresbereik valt, kan de processor in het speculatieve pad er toch overheen schieten.

Dat soort aanvallen is vooral relevant voor gedeelde systemen, zoals cloudservers waarop workloads van verschillende klanten op dezelfde fysieke hardware draaien. Daardoor kunnen aanvallers gericht virtuele machines huren om daarin code uit te voeren die via sidechannels gegevens uit andermans beveiligingscontexten probeert af te leiden.

In de praktijk zijn dergelijke aanvallen meestal sterk afhankelijk van geschikte codepatronen, gedeelde microarchitectuurbronnen en lange metingen. Daarom noemen beschrijvingen van sidechannel-aanvallen vaak datasnelheden, die vaak op slechts enkele kilobyte per seconde of minder liggen.

Moderne cloudservers hebben vaak honderden CPU-kernen en meerdere terabyte aan RAM. Om 1 TB volledig te doorzoeken, zou een aanval met een snelheid van 10 kB/s ongeveer drie jaar nodig hebben.

Zelfs zo’n acht jaar na de onthulling van Spectre en Meltdown worden er nog steeds nauw verwante aanvalsmethoden gepresenteerd. Inmiddels zijn het er tientallen – deels aanzienlijk complexer dan de eerste Spectre-varianten, deels verrassend praktijkgericht.

Sommige recentere kwetsbaarheden laten zien dat oudere beveiligingsmaatregelen tegen Spectre tekortschoten. Al in 2018 kwam er met Spectre Next Generation (Spectre-NG) een tweede golf, die aantoonde hoe breed het aanvalsoppervlak van speculatieve uitvoering is. Tot Spectre-NG behoorde onder andere Speculative Store Bypass (v4). Daarna volgde Foreshadow (L1 Terminal Fault, L1TF). Die kwetsbaarheid maakte misbruik van het feit dat de processor gegevens uit de L1-cache speculatief vrijgeeft, en omzeilde daarmee beveiligingsfuncties zoals Intels Software Guard Extensions (SGX), die code en gegevens in zogenaamde enclaves moeten isoleren.

Dergelijke Trusted Execution Environments (TEE’s) worden gebruikt voor zogenaamde Confidential Computing, oftewel om bijzonder gevoelige gegevens te beschermen. Daarom richten beveiligingsonderzoekers zich juist op dat soort functies.

Spectre v1.1 en v1.2 lieten zien dat ook speculatieve schrijfbewerkingen gevaarlijk kunnen zijn, bijvoorbeeld door Speculative Buffer Overflows of het tijdelijk omzeilen van read-only-beveiliging. Andere varianten, zoals SpectreRSB (misbruik van de Return Stack Buffer) en het Lazy-FP-lek, maakten duidelijk dat speculatieve effecten in verschillende CPU-onderdelen voorkomen, van de returnlogica tot de toestand van de floatingpoint-unit (FPU).

Met NetSpectre dook bovendien een eerste Spectre-variant op die via het netwerk kon worden misbruikt. Dat was weliswaar praktisch voor de aanvaller, maar extreem traag en werd daarom als puur academisch beschouwd.

In 2019 publiceerden talrijke onderzoeksgroepen kwetsbaarheden uit de familie van Microarchitectural Data Sampling (MDS), zoals ZombieLoad, Rogue In-Flight Data Load (RIDL) en Fallout. Ze richten zich op interne CPU-buffers zoals load ports en load buffers, store buffers en line fill buffers.

Intel reageerde met microcode-updates. De microcode is interne CPU-firmware die de werking van de rekenunits verandert. Die updates zorgden ervoor dat de CPU bij beveiligingsovergangen, zoals contextwisselingen, de betreffende buffers overschrijft of leegmaakt.

Dat kost echter tijd en dus rekenkracht. Bovendien bleek dat Simultaneous Multithreading (SMT) dat soort aanvallen vergemakkelijkt. Bij Intel heet SMT Hyper-Threading (HT). Bij SMT zien de hardwarethreads van een fysieke CPU-kern er voor het besturingssysteem uit als meerdere logische CPU’s. Ze delen de interne bronnen van de kern, wat de rekenkracht kan verhogen, maar ook extra sidechannels kan creëren.

Om de schade te beperken, verwees Intel naar microcode- en softwaremitigaties en raadde het aan om SMT te beoordelen op basis van het dreigingsmodel. Bij scenario’s met een hoog risico, bijvoorbeeld op cloudservers, adviseerden onderzoekers en sommige aanbieders om SMT uit te schakelen, waardoor de rekenkracht in sommige toepassingen flink daalt.

In 2020 zorgde Load Value Injection (LVI) voor een paradigmaverschuiving: bij dat scenario lezen aanvallers gegevens niet passief uit, maar zorgen ze ervoor dat de code van het slachtoffer verder rekent in speculatieve paden met door de aanvaller gestuurde waarden, bijvoorbeeld juist binnen SGX-enclaves (Software Guard Extensions).

Take A Way maakte op zijn beurt gericht gebruik van specifieke eigenschappen van de CPU-microarchitectuur van AMD om toegangspatronen af te leiden, namelijk zwakke plekken in de Way Predictor van de Level-1-gegevenscache (L1D).

CacheOut, ook bekend als L1D Eviction Sampling, bewees dat sommige systemen ondanks MDS-tegenmaatregelen nog steeds kwetsbaar waren voor L1D-/fill-buffer-effecten – vooral in combinatie met Hyper-Threading.

Straight-Line Speculation liet op ARM-processors zien dat kwaadaardige code processen zelfs speculatief kan uitvoeren als de verandering in de controlestroom eigenlijk onvoorwaardelijk zou moeten verlopen.

De tegenmaatregelen werden daardoor complexer: naast updates voor microcode en het besturingssysteem waren deels zeer omvangrijke softwarebeveiligingen nodig, vooral voor SGX.

Tot de via microcode-updates achteraf ingebouwde CPU-beveiligingsfuncties behoort ook Indirect Branch Restricted Speculation (IBRS), later gevolgd door een uitgebreide versie, eIBRS. Daarmee kunnen processors de speculatieve uitvoering nauwkeuriger beperken. De ARM-tegenhanger heet Context-Sensitive Virtualization (CSV2).

In 2021 werden met Speculative Code Store Bypass (SCSB) en Floating Point Value Injection (FPVI) nieuwe speculatieve aanvalsklassen geïntroduceerd. SCSB maakt misbruik van het feit dat processors na wijzigingen in zelf-modificerende code tijdelijk nog oude codebytes kunnen uitvoeren.

FPVI maakt het mogelijk om in een kortstondig venster floatingpoint-getallen te injecteren, voordat een machine-clear – oftewel een herstart van de interne pipeline – de toestand corrigeert.

In 2022 maakte Spectre Branch History Injection (BHI) duidelijk dat zelfs processors met actieve hardware-isolatie, zoals Intel eIBRS en ARM CSV2, kwetsbaar bleven voor Spectre v2-aanvallen. De branch-history kon namelijk nog steeds worden gebruikt om voorspellingen voor indirecte sprongen over privilegegrenzen heen te beïnvloeden.

Met Retbleed presenteerde de ETH Zürich een op terugsprongen gebaseerde aanvalstechniek die ook gepatchte Intel- en AMD-CPU’s trof. Beschermingsmaatregelen tegen Retbleed in de Linux-kernel kostten tot wel 39 procent aan prestaties.

In 2022 kwamen ook de Apple-processors in het vizier: PACMAN toonde op de Apple M1 aan dat Pointer Authentication Codes (PAC) via een sidechannel kunnen worden omzeild. PAC’s zijn cryptografische handtekeningen die pointers moeten beschermen tegen manipulatie door hun integriteit controleerbaar te maken.

PACMAN combineert een bestaande softwarebug (zoals een geheugenfout) met een hardwarezwakte van de M1-processor en maakt gebruik van speculatieve uitvoering om Pointer Authentication Codes te brute-forcen. Een sidechannel verraadt of een geraden PAC is geaccepteerd. Daardoor kan de PAC-beveiligingslaag omzeild worden.

PACMAN zorgt echter niet voor daadwerkelijke gegevensdiefstal.

In 2023 verschenen Zenbleed, Inception en Downfall. Opnieuw moesten AMD en Intel microcode-updates uitbrengen. Sommige daarvan zorgden – afhankelijk van het beveiligingslek, de CPU en de workload – voor prestatieverlies van tientallen procenten.

Inception werd beschreven voor alle tot dan toe uitgebrachte AMD Zen-generaties. AMD raadde microcode-updates vooral aan voor Zen 3 en Zen 4.

Downfall vormde vooral een bedreiging voor Intel Core-CPU’s van de 6e tot en met de 11e generatie, evenals voor verschillende Xeon-generaties met Gather-instructies.

Nieuw in 2023 was bovendien Spectre based on Linear Address Masking (SLAM). Die aanval bewees dat het aanvalsspectrum van Spectre kon worden uitgebreid naar functies voor het maskeren van RAM-adressen, zoals Intel Linear Address Masking (LAM), AMD Upper Address Ignore (UAI) en ARM Top Byte Ignore (TBI).

Volgens onderzoekers trof die aanval bestaande AMD-CPU’s met CVE-2020-12965 en, zoals later bleek, zelfs toen nog niet gepresenteerde processors van Intel, AMD en ARM met vergelijkbare functies.

SLAM combineert misbruikbare codefragmenten voor Spectre-aanvallen, zogenaamde gadgets, met een verborgen kanaal (Covert Channel). Dat verborgen kanaal maakt op zijn beurt gebruik van de Translation Lookaside Buffer (TLB) om gevoelige kernelgegevens, zoals /etc/shadow, binnen enkele minuten uit te lezen.

In 2024 luidde GhostRace de comeback van Spectre v1 in. Race verwijst naar een zogeheten race condition. Daarmee worden fouten bedoeld die optreden wanneer twee of meer functies bijna tegelijkertijd toegang zoeken tot dezelfde bron. In combinatie met speculatieve uitvoering kunnen daar zelfs gevestigde synchronisatiemechanismen zoals mutexen (Mutual Exclusion, wederzijdse uitsluiting) en spinlocks (vergrendelingen in de processynchronisatie) mee worden omzeild.

Daarbij dringt schadelijke code tijdelijk kritieke secties binnen, terwijl een andere thread daar architectonisch gezien al aan het werk is, wat tot informatielekken leidt. Tegelijkertijd liet de ARM-specifieke aanval TikTag zien dat zelfs de geavanceerde Memory Tagging Extension (MTE) van ARM via sidechannnels kan worden aangevallen. MTE is bedoeld om geheugenfouten te herkennen via tagcontroles –gelekte tags kunnen die beschermingslaag echter verzwakken.

Met Indirector verscheen bovendien een nieuwe variant van Spectre v2, die de beveiligingsaannames rond eIBRS en IBPB onder druk zet. Het maakt duidelijk dat speculatieve indirecte sprongen zelfs bij moderne processors maar moeilijk volledig te isoleren zijn.

In 2025 lieten de aanvallen SLAP en FLOP op Apple Silicon zien dat moderne voorspellingsfuncties voor laadadressen en rekenresultaten gemanipuleerd kunnen worden, namelijk de Last Address Predictor (LAP) en de Load Value Predictor (LVP).

In demonstratiescenario’s konden daarmee via websites gegevens uit eigenlijk geïsoleerde contexten van een browser worden uitgelezen, zoals de browsergeschiedenis en e-mailmetadata.

Training Solo bewijst dat er uit Spectre-v2-aanvallen, waarbij training- en disclosure-gadgets aanvankelijk binnen hetzelfde domein liggen, ook cross-domain-varianten kunnen ontstaan. Dat zet domeinisolaties tegen Spectre v2, zoals eIBRS en Indirect Branch Prediction Barrier (IBPB), onder druk.

Bij Branch Privilege Injection maakte een team van de ETH Zürich gebruik van branch-predictor-race-omstandigheden op Intel Core-processors vanaf de 9e generatie. De microcode-mitigaties die daartegen bescherming bieden, zorgen – afhankelijk van de CPU en het programma – voor aanzienlijke prestatieverliezen. Volgens sommige metingen was dat 2,7 procent bij Alder Lake, oftewel de Core i van de twaalfde generatie. Alternatieve beveiligingstechnieken leidden tot prestatieverlies van wel 8,3 procent.

AMD beschreef met Transient Scheduler Attacks (TSA) een nieuwe klasse van sidechannels. Daarbij voert de processor op speculatieve wijze commando’s uit met ongeldige gegevens omdat hij laadprocessen intern ten onrechte als voltooid beschouwt. Afhankelijk van de variant zijn de tijdelijk gebruikte gegevens afkomstig uit de L1D-context of uit de Store Queue.

Aanvallers met lokale toegang tot de code kunnen zo door het meten van tijdsverschillen gegevens uit bevoorrechte contexten afleiden. Afhankelijk van het platform kun je dat verhelpen met updates voor microcode, het besturingssysteem en de hypervisor, en door interne buffers gericht leeg te maken.

Alleen al het opsommen van de talloze CPU-kwetsbaarheden van de typen Spectre en Meltdown laat zien hoe ingewikkeld moderne processors werken en welke beveiligingslekken erin schuilgaan. Hun enorme rekenkracht halen ze voor een groot deel uit parallellisatie, tijdelijke opslag en de sterk geoptimaliseerde samenwerking daartussen.

Als neveneffect ontstaan er sidechannels die misbruikt kunnen worden voor aanvallen. Eenvoudige oplossingen om die sidechannels af te sluiten zijn er blijkbaar niet. Dat blijkt wel uit het kat-en-muisspel dat CPU-ontwikkelaars met beveiligingsonderzoekers spelen.

Maar de schok door Spectre en Meltdown was heel leerzaam voor de CPU-sector.

David Knichel en Noud van Kruysbergen