Прагнення до технологічного суверенітету нерідко стимулює розробку автаркічних апаратних рішень, що в результаті можуть містити фундаментальні архітектурні помилки. Нещодавнє відкриття німецьких дослідників оголило критичну проблему в китайських процесорах Loongson, побудованих на пропрієтарній системі команд LoongArch. Мова йде про вразливість під назвою LoongLeak, яка дозволяє здійснювати екстракцію конфіденційних даних безпосередньо з кеш-пам'яті першого рівня (L1). Цей кейс наочно демонструє крихкість сучасної мікроелектроніки: виявляється, що навіть одна невизначена інструкція здатна повністю скомпрометувати архітектуру безпеки всієї системи.
В основі сучасних обчислювальних систем лежить постійна боротьба за ефективність та ізоляцію даних. Китайська компанія Loongson обрала шлях розробки власної архітектури команд LoongArch, що фактично є гібридом підходів MIPS та RISC-V. Однак прагнення до інновацій у сфері апаратного забезпечення призвело до виникнення критичної вразливості, яку німецькі дослідники виявили за допомогою фаззингу — методу автоматизованого пошуку помилок шляхом подачі випадкових даних на вхід системи.
Ця проблема отримала назву LoongLeak. Дослідники звернули увагу на специфічну інструкцію в документації LoongArch, яка залишає 32 біти регістру пам'яті у так званому «невизначеному» стані. В ідеальній системі такі дані мають бути або обнулені, або повністю ізольовані. Проте детальний аналіз показав, що за певних умов ці «невизначені» значення насправді є залишками даних із кешу першого рівня (L1). Оскільки механізм ізоляції між різними застосунками та операційною системою в даному випадку виявився недосконалим, виникла можливість перехоплення інформації.
Технічна небезпека LoongLeak полягає в тому, що зловмисник може цілеспрямовано маніпулювати внутрішнім станом процесора, щоб «витягувати» з кешу саме ті фрагменти даних, які мають цінність. Практичні випробування підтвердили найгірші побоювання: дослідникам вдалося перехопити ключі AES-шифрування та часткові хеші паролів суперкористувача (root) безпосередньо з простору користувача. Більше того, вразливість дозволяє обходити такі фундаментальні механізми захисту, як ASLR (рандомізація адресного простору), що має ускладнити експлуатацію переповнення буфера, а також ігнорувати контрольні значення на стеку.
Особливе занепокоєння викликає вектор атаки через віртуалізацію. LoongLeak дозволяє розгорнути атаку безпосередньо з віртуальної машини для викрадення даних із хост-сервера, що фактично нівелює одну з головних функцій гіпервізорів — забезпечення суворої ізоляції гостьових систем.
Оскільки корінь проблеми закладено на рівні заліза, повністю усунути вразливість програмними методами неможливо. Чип на фізичному рівні не має допускати потрапляння конфіденційних даних у кеш L1 під час виконання таких інструкцій. Одним із радикальних способів захисту могло б стати вимкнення другого потоку на ядрі, але це фактично означало б відмову від технології Hyper-Threading (SMT), що призвело б до відчутного падіння продуктивності.
Як компроміс, компанія Loongson випустила оновлення програмного забезпечення для моделі 3A6000, запровадивши механізм примусового очищення кешу. Це рішення дозволило знизити ризики, зберігши високу ефективність роботи процесора: у найгіршому сценарії падіння продуктивності склало лише 1,4%. Попри технічну значущість відкриття, глобальний масштаб загрози залишається обмеженим, оскільки чипи Loongson практично не представлені на ринках за межами Китаю. Проте цей інцидент слугує важливим нагадуванням про те, що будь-які спроби створити альтернативні апаратні платформи потребують найсуворішого аудиту безпеки на рівні кремнію.
Ціна стрімкого розвитку CXMT у сфері пам'яті
