מתקפת GPU מרחוק מביאה לסיכון של דפדפנים המעניקים לאתרים גישה לכרטיסים גרפיים לניצול פוטנציאלי של כריית קריפטו
חוקרים מאוניברסיטת גראץ לטכנולוגיה באוסטריה ומאוניברסיטת רן בצרפת חשפו פגיעות מודאגת בנוגע ליחידות עיבוד גרפיות (GPUs), שעלולות להיות מנוצלות לכריית מטבעות קריפטוגרפיים ופעילויות זדוניות אחרות. האיום החדש שהתגלה מכוון לדפדפנים וכרטיסים גרפיים פופולריים.
הפגיעות מתמקדת סביב WebGPU, API המאפשר למפתחי אינטרנט להתחבר ל-GPU של מחשב למשימות בעלות ביצועים גבוהים ישירות בדפדפן אינטרנט. באמצעות מניפולציה חכמה של API זה באמצעות JavaScript, החוקרים הדגימו וקטור התקפה מרחוק הפועל כולו בתוך הדפדפן, ומבטל את הצורך בגישה ישירה לממשקי API מקוריים של GPU.
שיטת התקפה זו מייצגת את אחד המקרים המוקדמים ביותר של התקפת ערוץ צדדי של מטמון GPU שמקורה בדפדפן אינטרנט. על ידי פיתוי משתמשים לבקר באתר זדוני המארח את קוד הניצול, התוקפים יכולים לבצע את הניצול מרחוק, ללא אינטראקציה של המשתמש מעבר לשהייה באתר למשך מספר דקות בלבד.
ההשלכות של פגיעות זו הן משמעותיות. ניתן למנף את ההתקפה להתקפות תזמון בין הקשות, שעלולות לחשוף מידע רגיש כמו סיסמאות המבוססות על תזמון הקשות. יתרה מכך, הוא מאפשר חילוץ של מפתחות הצפנת AES מבוססי GPU ומקים ערוצי חילוץ נתונים סמויים עם קצבי שידור מתונים.
החוקרים מדגישים את הצורך של ספקי דפדפנים להתייחס לגישה של GPU באותה זהירות כמו משאבים רגישים לאבטחה אחרים. לוקאס ג'ינר, אחד החוקרים, מדגיש את הסיכונים הנשקפים מהדפדפנים המעניקים לאתרים גישה בלתי מוגבלת ל-GPU של המערכת המארחת, תוך ציון פוטנציאל להתקפות חמקניות או אפילו פעולות כריית מטבעות קריפטוגרפיים סמויים ללא מודעות המשתמש.
המחקר מכוון למגוון כרטיסי מסך שולחניים מ-AMD ו-NVIDIA, והשפיעו על דפדפנים התומכים ב-WebGPU, כולל Chrome, Chromium, Edge ו-Firefox Nightly. למרות הודעות למפתחי Mozilla, AMD, NVIDIA ו-Chromium, רק AMD פרסמה תגובה, והצהירה שהם לא מאמינים שהחוקרים הוכיחו ניצול נגד המוצרים שלהם.
החוקרים הציעו ליישם חלון מוקפץ של הרשאות הדומה לאלה לגישה למיקרופון או למצלמה כדי להפחית את הסיכון. עם זאת, צוות Chromium הביע הסתייגויות, וציטט את הפוטנציאל להוספת חיכוך משתמש ללא יתרונות אבטחה תואמים.
גילוי זה מדגיש את הצורך הקריטי באמצעים יזומים לאבטחת גישה ל-GPU בתוך דפדפנים, שכן אי טיפול בפגיעות זו עלול לחשוף את המשתמשים למגוון פעילויות זדוניות, מגניבת נתונים ועד כריית מטבעות קריפטוגרפיים סמויים.