Kan je CPU worden gehackt?
We kennen allemaal de risico’s van online hacken, of dat nu via apps, sociale media, onbetrouwbare downloads of iets anders is. Maar wist je dat je computerhardware ook kwetsbaar is voor hacking?
Hardwarecomponenten zoals een centrale verwerkingseenheid (CPU) zijn inderdaad gevoelig voor aanvallen van kwaadwillende individuen. De vraag rijst echter welke methodologie wordt gebruikt om een CPU te kraken en of er preventieve maatregelen bestaan om dergelijke aanvallen te voorkomen.
Hoe worden CPU’s gehackt?
Van meet af aan moet worden erkend dat CPU-gebaseerde exploits niet veel voorkomen. Desalniettemin zijn dergelijke kwetsbaarheden in het verleden meermaals ontdekt en onderzocht.
De Meltdown en Spectre kwetsbaarheden
Het misbruiken van kwetsbaarheden in computerprocessors, ook wel “CPU-hacks” genoemd, kan leiden tot aanzienlijke beveiligingsrisico’s voor zowel individuen als organisaties. Een voorbeeld hiervan was de ontdekking van de Meltdown-kwetsbaarheid door Google’s Project Zero in januari 2018. Deze kwetsbaarheid vormt een potentiële bedreiging voor talloze CPU’s en treft miljoenen gebruikers wereldwijd.
Rond dezelfde tijd als de ontdekking van Meltdown kwam een andere beveiligingsbedreiging, Spectre, in het nieuws. Deze specifieke klasse van kwetsbaarheden wordt beschouwd als een van de eerste gevallen van CPU-defecten met voorbijgaande uitvoering. Zowel Spectre als Meltdown vormen een risico voor verwerkingseenheden van bekende fabrikanten zoals Apple, Intel, AMD en ARM. Het is belangrijk om op te merken dat geen van deze problemen kan worden toegeschreven aan een enkele fout in het hardwareontwerp van CPU’s; in plaats daarvan omvat elk van deze problemen een reeks verschillende onvolkomenheden.
De voornaamste dreiging die uitgaat van de kwetsbaarheden Meltdown en Spectre ligt in de mogelijkheid van onbevoegde toegang tot en extractie van gevoelige informatie uit getroffen computers. Spectre geeft een aanvaller toegang tot willekeurige locaties in de geheugenruimte van een processor die zijn toegewezen voor gebruik door een bepaalde toepassing of een bepaald proces, terwijl Meltdown het lezen van alle opgeslagen gegevens in het geheugen van een systeem toestaat, ongeacht het beoogde doel of de locatie. Bovendien is Spectre in staat om een breder scala aan softwareprogramma’s aan te vallen, waaronder zowel individuele toepassingen als het onderliggende besturingssysteem zelf, terwijl Meltdown ook de functionaliteit en beveiliging van dergelijke software kan beïnvloeden.
Een belangrijk punt van zorg met betrekking tot Meltdown en Spectre is dat ze gericht zijn op CPU’s, alomtegenwoordige stukjes hardware.Deze kwetsbaarheden kunnen dus invloed hebben op een groot aantal apparaten naast pc’s, waaronder routers en intelligente technologische systemen.
De kwetsbaarheden in kwestie hebben betrekking op de hardware zelf, waardoor ze immuun zijn voor de snelle remedie die meestal wordt toegepast voor softwaregerelateerde defecten. De implicaties van Meltdown en Spectre maakten dan ook een uitgebreide herziening van toekomstige CPU-ontwerpen noodzakelijk. Gelukkig hebben bepaalde ontwikkelingen in de software bijgedragen aan het tot op zekere hoogte verminderen van de impact van deze aanvallen.
Halverwege 2022 werd de situatie zelfs nog zorgwekkender toen onderzoekers een nieuw beveiligingslek ontdekten waarbij CPU-frequenties gemanipuleerd konden worden.
De 2022 Hertzbleed aanval
In het 2022 onderzoek uitgevoerd door meerdere onderzoekers, werd ontdekt dat een vorm van side-channel aanval kon worden uitgevoerd op CPU’s wanneer ze een functie uitvoeren. Wanneer een processor een actie uitvoert, treedt er een frequentievariatie op in de CPU-klok. Andere factoren, zoals overklokken en oververhitting, kunnen ook frequentiewijzigingen veroorzaken.
Dynamische frequentiewijzigingen, een technische term die verwijst naar de wijziging van frequenties tijdens een bepaald proces, kunnen door kwaadwillende actoren worden geanalyseerd om de aard van de informatie te bepalen die tussen componenten A en B wordt verzonden om specifieke functionele doelen te bereiken.
De reeks aanvallen die gezamenlijk “Hertzbleed” wordt genoemd, is van toepassing op een uitgebreide reeks Intel-gebaseerde en talrijke AMD-processors. Het is opmerkelijk dat een aanzienlijk aantal mensen over de hele wereld kwetsbaar is voor dergelijke aanvallen.
Het is de moeite waard om op te merken dat de Hertzbleed aanvallen op dit moment puur speculatief en hypothetisch zijn, zonder bekende gevallen van uitvoering door kwaadwillende entiteiten. Het kan echter niet worden uitgesloten dat dergelijke voorvallen zich in de nabije toekomst zullen voordoen.
CPU-hacks vermijden
De beveiliging van een centrale verwerkingseenheid (CPU) staat niet noodzakelijkerwijs gelijk aan de beveiliging van toepassingen of een besturingssysteem. Daarentegen is het vaak een uitdaging om je te verdedigen tegen hardwarematige bedreigingen, omdat hardware niet kan worden bijgewerkt met softwarepatches.
Het up-to-date houden van besturingssystemen is een effectieve manier om je centrale verwerkingseenheid te beschermen tegen mogelijke bedreigingen. Door updates te installeren die door de CPU-fabrikant worden uitgegeven als reactie op ontdekte kwetsbaarheden, kunnen mensen ervoor zorgen dat ze beschermd blijven.
Het installeren van software-upgrades kan beveiligingslekken als gevolg van zwakke plekken en zijdelingse aanvallen effectief tegengaan. Het is cruciaal om gedurende een langere periode waakzaam te blijven met betrekking tot deze updates.
CPU-hacks zijn ongebruikelijk maar gevaarlijk
Hoewel phishing, ransomware en spyware enkele van de meest voorkomende aanvalsvectoren zijn die momenteel worden waargenomen in cyberspace, zou het onverstandig zijn om het bestaan van alternatieve vormen van uitbuiting, zoals die gericht op centrale verwerkingseenheden (CPU’s), te negeren. Aangezien een aanzienlijk deel van de mensen meerdere technologische apparaten bezit, die samen een groot aantal CPU’s herbergen, is het voor het handhaven van de beveiliging nodig om tijdig software-upgrades uit te voeren.