Die Sicherheit von privaten Daten zu garantieren, ist schon immer eine große Herausforderung für IT-Sicherheitsforscher:innen. Diese ist noch gewachsen als Forscher:innen vor einigen Jahren Schwachstellen in Mikroprozessoren (CPUs) entdeckten, die mächtige Angriffe auf die Computerchips möglich machen. „Über sogenannte Seitenkanäle, über die ungewollt Informationen etwa zu Berechnungszeiten von Aufgaben nach außen dringen, können Angreifer:innen Rückschlüsse auf Passwörter, Kreditkartennummern und andere sensible Daten ziehen – auch ohne physischen Zugriff auf den Rechner zu haben“, erklärt CISPA-Forscher Daniel Weber. Solche Informationslecks eröffnen sich innerhalb von Programmabläufen und sind eine Folge des leistungsoptimierten Designs moderner CPUs. Mögliche Seitenkanäle aufzuspüren, ist bislang sehr zeitaufwendig und erfordert eine tiefe Kenntnis der Mikroarchitektur des jeweiligen Rechners.
„Osiris kann CPU-Hersteller:innen und Sicherheitsforscher:innen bei der Suche von Seitenkanälen künftig die Arbeit erleichtern. Das Tool zeigt automatisch Wege auf, mit welchen Informationen unfreiwillig von Prozessen geleakt werden. Informationslecks lassen sich durch dieses Wissen schneller erkennen und schließen", erklärt Daniel Weber. Zusammen mit seinem Team und unter der Leitung der CISPA-Faculty Dr. Michael Schwarz und Prof. Dr. Christian Rossow konnte Weber mithilfe des Tools nicht nur bereits bekannte, sondern auch vier bislang unbekannte Seitenkanäle in Intel- und AMD-Prozessoren aufzeigen. Die Forscher demonstrierten die Praxisrelevanz dieser Seitenkanäle in drei unterschiedlichen Angriffszenarien.
Um zu testen, wo und wann sich die problematischen Kanäle eröffnen, schickt Osiris automatisch Maschinenbefehle an die CPU. „Abhängig vom jeweiligen Mikroprozessor dauert das derzeit pro Rechner zwischen drei und vier Tage“, erklärt Weber. Bislang mussten IT-Sicherheitsexpert:innen selbst erst tagelang die Dokumentation der CPU-Hersteller:innen zu den möglichen Befehlen an die CPU studieren und manuell testen, wann Probleme entstehen. Osiris ist laut Weber sofort einsetzbar und erfordert keine Anpassungen der Hardware.
Webers Idee kam auch auf der IT-Konferenz CSAW gut an, die laut eigener Aussage „die umfassendste von Studierenden organisierte Veranstaltung zur Cybersicherheit in der Welt“ ist. „Die CSAW versucht die Brücke zwischen akademischer Welt und Industrie zu schlagen.“ In der „Applied Research Competition“, einer von mehreren Cybersicherheitswettbewerben, in denen sich Sicherheitsforscher:innen auf der CSAW messen, werden demnach auch nur Ideen ausgezeichnet, die sich auch praktisch umsetzen lassen. „Ich freue mich, dass Osiris bei der Jury gut angekommen ist.“
