I ricercatori scoprono una vulnerabilità critica nei chip della serie M di Apple
I ricercatori scoprono una vulnerabilità critica nei chip della serie M di Apple
- Una vulnerabilità nei chip M-series di Apple consente l'estrazione di chiavi crittografiche a causa di un difetto nel design del chip.
- L'attacco GoFetch, sviluppato dai ricercatori, può sfruttare questa vulnerabilità senza richiedere privilegi di root, colpendo vari tipi di chiavi crittografiche.
- Mitigare questo problema richiede misure di sicurezza aggiuntive a livello software, con potenziali impatti sulle prestazioni delle operazioni crittografiche sui chip M-series.
I ricercatori accademici hanno identificato una nuova vulnerabilità all’interno dei chip della serie M di Appleche potrebbe consentire agli attaccanti di estrarre chiavi crittografiche dai dispositivi Mac.
Secondo il blog tecnologico Ars Technica, questo difetto è profondamente radicato nel design microarchitettonico del silicio, rendendolo impossibile da correggere tramite patch software convenzionali. Invece, mitigare questo rischio richiede modifiche al software di crittografia di terze parti, che potrebbero influire negativamente sulle prestazioni delle operazioni crittografiche, in particolare sui modelli di chip M1 e M2 più vecchi.
Sforzi di mitigazione e le sfide
La vulnerabilità sfrutta il prefetcher dipendente dalla memoria dei dati (DMP), un’ottimizzazione hardware nel silicio di Apple che mira a migliorare l’efficienza di calcolo caricando in anticipo i dati previsti nella cache della CPU. Tuttavia, questa funzione crea involontariamente un canale laterale che potrebbe essere sfruttato per accedere e trapelare chiavi crittografiche. L’exploit, ribattezzato GoFetch dai ricercatori, è notevole per la sua capacità di estrarre segreti senza richiedere privilegi di sistema elevati, necessitando solo dello stesso livello di accesso della maggior parte delle applicazioni di terze parti su macOS.
GoFetch si è dimostrato efficace contro una gamma di standard di crittografia, inclusi quelli progettati per resistere alle future minacce del computing quantistico. L’efficacia dell’attacco è dimostrata dalla sua capacità di estrarre vari tipi di chiavi crittografiche in tempi ragionevoli, presentando una minaccia tangibile per la sicurezza dei dati.
Affrontare questa vulnerabilità è complesso a causa della sua base hardware. Tra le contromisure proposte c’è il ciphertext blinding, sebbene questo metodo sia specifico per determinati algoritmi e potrebbe raddoppiare le risorse di calcolo richieste per processi come gli scambi di chiavi Diffie-Hellman. In alternativa, è stato suggerito di eseguire operazioni crittografiche sui core di efficienza della serie M, che non dispongono di DMP, sebbene anche questo approccio presenti limitazioni.
Questa vulnerabilità evidenzia le sfide della sicurezza delle operazioni crittografiche contro i canali laterali microarchitettonici. Il team di ricerca ha invocato un approccio collettivo all’interfaccia hardware-software per proteggere meglio da tali vulnerabilità, suggerendo meccanismi per disabilitare selettivamente il DMP durante le operazioni di sicurezza critiche.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Damilola Lawrence
Damilola Lawrence si occupa di notizie sui mercati crypto e tecnologici da oltre 5 anni. In precedenza ha condiviso approfondimenti e analisi sul mondo crypto per TheShibMagazine, CryptoMode, Qweens Magazine e The Recording Academy prima di passare al Web3. Presso Cryptopolitan è specialista nelle previsioni dei prezzi delle criptovalute. Dopo aver conseguito la laurea triennale, sta seguendo un master in Cybersecurity IT presso l'Università Maria Curie-Skłodowska.
