حمله از راه دور GPU خطر دسترسی مرورگرها به وب‌سایت‌ها به کارت‌های گرافیکی برای بهره‌برداری‌های بالقوه استخراج کریپتو را افزایش می‌دهد.
محققان دانشگاه فناوری گراتس در اتریش و دانشگاه رن در فرانسه آسیب‌پذیری نگران‌کننده‌ای را در مورد واحدهای پردازش گرافیکی (GPU) نشان داده‌اند که می‌تواند به طور بالقوه برای استخراج ارزهای دیجیتال و سایر فعالیت‌های مخرب مورد سوء استفاده قرار گیرد. این تهدید تازه کشف شده مرورگرها و کارت های گرافیک محبوب را هدف قرار می دهد.
این آسیب‌پذیری در اطراف WebGPU متمرکز است، یک API که به توسعه‌دهندگان وب اجازه می‌دهد تا مستقیماً در یک مرورگر وب، از GPU رایانه برای کارهای با کارایی بالا استفاده کنند. از طریق دستکاری هوشمندانه این API با استفاده از جاوا اسکریپت، محققان یک بردار حمله از راه دور را نشان داده‌اند که به طور کامل در مرورگر عمل می‌کند و نیاز به دسترسی مستقیم به APIهای GPU بومی را از بین می‌برد.
این روش حمله یکی از اولین نمونه‌های حمله کانال جانبی حافظه پنهان GPU را نشان می‌دهد که از یک مرورگر وب سرچشمه می‌گیرد. با ترغیب کاربران به بازدید از یک وب‌سایت مخرب میزبان کد بهره‌برداری، مهاجمان می‌توانند این اکسپلویت را از راه دور اجرا کنند، بدون اینکه هیچ تعاملی با کاربر به جز ماندن در سایت برای چند دقیقه نداشته باشند.
پیامدهای این آسیب پذیری قابل توجه است. این حمله می‌تواند برای حملات زمان‌بندی بین ضربه‌ای به کار گرفته شود، و به طور بالقوه اطلاعات حساسی مانند رمزهای عبور بر اساس زمان‌بندی ضربه کلید را آشکار می‌کند. علاوه بر این، استخراج کلیدهای رمزگذاری AES مبتنی بر GPU را ممکن می‌کند و کانال‌های استخراج مخفی داده‌ها را با نرخ انتقال متوسط ایجاد می‌کند.
محققان بر نیاز فروشندگان مرورگر برای برخورد با دسترسی GPU با احتیاط مشابه سایر منابع حساس به امنیت تاکید می کنند. Lukas Giner، یکی از محققان، خطرات ناشی از مرورگرهایی را که به وب سایت ها دسترسی نامحدود به GPU سیستم میزبان می دهند، اشاره می کند و به پتانسیل حملات مخفیانه یا حتی عملیات استخراج مخفی ارز دیجیتال بدون آگاهی کاربر اشاره می کند.
این تحقیق طیف وسیعی از کارت‌های گرافیک دسکتاپ را از AMD و NVIDIA مورد هدف قرار داد که بر مرورگرهای پشتیبانی‌کننده WebGPU از جمله Chrome، Chromium، Edge و Firefox Nightly تأثیر گذاشت. علیرغم اعلان‌هایی که به توسعه‌دهندگان Mozilla، AMD، NVIDIA و Chromium داده‌اند، تنها AMD پاسخی صادر کرده است که معتقد نیست محققان سوءاستفاده‌ای را علیه محصولاتشان نشان داده‌اند.
محققان پیشنهاد کردند که برای کاهش خطر، یک پاپ‌آپ مجوز مشابه با دسترسی میکروفون یا دوربین اجرا شود. با این حال، تیم Chromium با اشاره به پتانسیل افزایش اصطکاک کاربر بدون مزایای امنیتی متناسب، رزرو خود را ابراز کرد.
این افشاگری بر نیاز حیاتی به اقدامات پیشگیرانه برای ایمن کردن دسترسی به GPU در مرورگرها تاکید می کند، زیرا عدم رسیدگی به این آسیب پذیری می تواند کاربران را در معرض طیف وسیعی از فعالیت های مخرب، از سرقت داده تا استخراج مخفی ارزهای دیجیتال قرار دهد.