ऐप्पल सिलिकॉन सीपीयू पर नया "गोफ़ेच" हमला क्रिप्टो कुंजी को उजागर करता है

विभिन्न अमेरिकी विश्वविद्यालयों के शोधकर्ताओं के एक संघ द्वारा हाल ही में किए गए रहस्योद्घाटन ने ऐप्पल सिलिकॉन सीपीयू की सुरक्षा में सेंध लगाने की एक नई विधि पर प्रकाश डाला है, जो संभावित रूप से संवेदनशील क्रिप्टोग्राफ़िक कुंजियों को उजागर करता है। इसे "गोफ़ेच" हमला कहा जाता है, यह शोषण ऐप्पल सीपीयू सिस्टम में एक माइक्रोआर्किटेक्चरल भेद्यता को लक्षित करता है, जो क्रिप्टोग्राफ़िक संचालन में उपयोग की जाने वाली एन्क्रिप्शन कुंजी के निष्कर्षण की सुविधा प्रदान करता है।

GoFetch हमले को माइक्रोआर्किटेक्चरल साइड-चैनल हमले के रूप में वर्गीकृत किया गया है, जिसके लिए लक्षित डिवाइस तक भौतिक पहुंच की आवश्यकता होती है। यह डेटा मेमोरी-डिपेंडेंट प्रीफ़ेचर (डीएमपी) नामक एक हार्डवेयर ऑप्टिमाइज़ेशन सुविधा का उपयोग करता है, जिसे प्रोग्राम सामग्री से मेमोरी एड्रेस को प्रीमेप्टिव रूप से प्राप्त करके सिस्टम प्रदर्शन को बढ़ाने के लिए डिज़ाइन किया गया है।

शोधकर्ताओं ने पता लगाया कि क्रिप्टोग्राफ़िक संचालन के लिए सावधानीपूर्वक तैयार किए गए इनपुट को नियोजित करके, वे गुप्त कुंजियों का क्रमिक रूप से अनुमान लगाने के लिए डीएमपी के व्यवहार का फायदा उठा सकते हैं। यह विधि हमलावरों को धीरे-धीरे एन्क्रिप्शन कुंजियों को समझने में सक्षम बनाती है, जो संभावित रूप से निरंतर-समय क्रिप्टोग्राफ़िक कार्यान्वयन को नियोजित करने वाले सिस्टम की सुरक्षा से समझौता करती है।

कई क्रिप्टोग्राफ़िक प्रोटोकॉल GoFetch हमलों के प्रति संवेदनशील पाए गए, जिनमें OpenSSL डिफी-हेलमैन की एक्सचेंज, Go RSA और पोस्ट-क्वांटम एल्गोरिदम जैसे CRYSTALS-Kyber और CRYSTALS-Dilithium शामिल हैं। हमले की पद्धति ऑगुरी नामक पिछले कारनामे द्वारा रखी गई नींव पर आधारित है, जिसका खुलासा 2022 में किया गया था।

शोधकर्ताओं द्वारा किए गए परीक्षणों ने एम1 प्रोसेसर से लैस ऐप्पल मैक सिस्टम पर सफल गोफ़ेच हमलों की पुष्टि की। इसके अलावा, ऐसे सबूत हैं जो बताते हैं कि ऐप्पल सीपीयू के बाद के पुनरावृत्तियों, जैसे एम 2 और एम 3 प्रोसेसर, भी इस शोषण के लिए अतिसंवेदनशील हो सकते हैं। यद्यपि डीएमपी की विशेषता वाले एक इंटेल प्रोसेसर का मूल्यांकन किया गया था, इसने ऐसे हमलों के खिलाफ अधिक लचीलापन प्रदर्शित किया।

ऐप्पल को ओपनएसएसएल, गो क्रिप्टो और क्रिस्टल जैसे प्रासंगिक डेवलपर्स के साथ दिसंबर 2023 में इन निष्कर्षों के बारे में सूचित किया गया था। कंपनी वर्तमान में इस मुद्दे की जांच कर रही है, हालांकि इसे व्यापक रूप से संबोधित करना महत्वपूर्ण चुनौतियां पेश करता है। प्रस्तावित प्रतिउपायों में या तो हार्डवेयर संशोधन या प्रदर्शन-प्रभावकारी शमन शामिल हैं।

शोधकर्ताओं ने अपने निष्कर्षों को एक व्यापक पेपर में दर्ज किया है और प्रूफ-ऑफ-कॉन्सेप्ट (पीओसी) कोड जारी करने की योजना बनाई है। इसके अतिरिक्त, कुंजी निष्कर्षण शोषण को प्रदर्शित करने वाला एक वीडियो प्रदर्शन आगामी है।