Heartzbleed è la nuova vulnerabilità per i processori Intel e AMD

C'è una nuova vulnerabilità di sicurezza che affligge tutti i moderni processori che siano caratterizzati dall'utilizzo di tecnologie che ne incrementano dinamicamente le frequenze di clock. Indicata con il nome di Heartzbleed, questa vulnerabilità può portare a copiare le chiavi crittografiche AES nel momento in cui il processore varia in modo dinamico la propria frequenza di clock.

A seconda della frequenza di clock istantanea di un processore, la potenza richiesta dalla CPU per operare continua a variare nel tempo. Osservando le variazioni della potenza possono essere ricavati dei dati sui timings, che permetterebbero ad un malintenzionato di rubare le chiavi crittografiche che utilizza il processore.

Come con qualsiasi altro elemento in una CPU, la potenza del carico di lavoro varia in base al ridimensionamento della frequenza del processore in diverse situazioni. L'osservazione di queste informazioni sulla potenza può essere convertita in dati temporali, consentendo a un utente malintenzionato di rubare chiavi crittografiche. Questo viene fatto utilizzando il Dynamic Voltage Frequency Scaling (DVFS), una parte di qualsiasi processore moderno.

L'attacco può essere effettuato da remoto, senza necessità di accedere fisicamente al sistema; ciò nonostante tanto Intel come AMD non sembrano intenzionate a implementare delle correzioni a livello di microcode che permettano di mitigarne l'efficacia in quanto si tratterebbe di una modalità di attacco informatico molto poco pratica fuori dal contesto di una ricerca specifica in laboratorio. Di fatto richiede un lavoro che può variare da ore a giorni per poter avere accesso alle chiavi crittografiche.

Sia Intel che AMD hanno già evidenziato come i propri processori siano suscettibili a questo tipo di attacco di sicurezza, rilasciando documentazione indicata come Intel-SA-00698 ID e CVE-2022-24436 ID per i processori Intel CPUs e CVE-2022-23823 per quelli AMD. Ulteriori informazioni su questo attacco sono accessibili dal sito ufficiale a questo indirizzo.