A távoli GPU-támadás azt kockáztatja, hogy a böngészők hozzáférést biztosítanak a webhelyeknek a grafikus kártyákhoz a potenciális kriptobányászati kizsákmányolások miatt

Az ausztriai Grazi Műszaki Egyetem és a francia Rennes-i Egyetem kutatói a grafikus feldolgozó egységek (GPU-k) aggályos sebezhetőségét tárták fel, amelyet potenciálisan kriptovaluta bányászatára és más rosszindulatú tevékenységekre lehet kihasználni . Ez az újonnan felfedezett fenyegetés a népszerű böngészőket és grafikus kártyákat célozza meg.

A biztonsági rés a WebGPU köré összpontosul, egy olyan API-ra, amely lehetővé teszi a webfejlesztők számára, hogy közvetlenül a webböngészőn belül hozzáférjenek a számítógép GPU-jához, hogy nagy teljesítményű feladatokat végezzenek. Ennek az API-nak a JavaScript segítségével történő okos manipulálásával a kutatók egy távoli támadási vektort mutattak be, amely teljes egészében a böngészőn belül működik, így nincs szükség a natív GPU API-khoz való közvetlen hozzáférésre.

Ez a támadási módszer a webböngészőből származó GPU-gyorsítótár oldalcsatorna-támadásának egyik legkorábbi példánya. A kihasználó kódot tartalmazó rosszindulatú webhely meglátogatására csábítja a felhasználókat, így a támadók távolról is végrehajthatják a kizsákmányolást, a felhasználói beavatkozás nélkül, azon túl, hogy néhány percig a webhelyen maradnak.

Ennek a sebezhetőségnek jelentős következményei vannak. A támadást ki lehet használni a billentyűleütések közötti időzítési támadásokra, amelyek a billentyűleütések időzítése alapján érzékeny információkat, például jelszavakat fedhetnek fel. Ezenkívül lehetővé teszi a GPU-alapú AES titkosítási kulcsok kinyerését, és mérsékelt átviteli sebességű rejtett adatkiszűrési csatornákat hoz létre.

A kutatók hangsúlyozzák, hogy a böngészőgyártóknak ugyanolyan óvatosan kell kezelniük a GPU-hozzáférést, mint a többi biztonsági szempontból érzékeny erőforrást. Lukas Giner, az egyik kutató felhívja a figyelmet azokra a kockázatokra, amelyeket a weboldalaknak a gazdarendszer GPU-jához korlátlan hozzáférést biztosító böngészők jelentenek, hivatkozva a lopakodó támadások lehetőségére, vagy akár rejtett kriptovaluta bányászati műveletekre a felhasználó figyelme nélkül.

A kutatás az AMD és az NVIDIA asztali grafikus kártyáinak egy sorát célozta meg, amelyek hatással voltak a WebGPU-t támogató böngészőkre, beleértve a Chrome-ot, a Chromiumot, az Edge-t és a Firefox Nightly-t. A Mozilla, az AMD, az NVIDIA és a Chromium fejlesztőihez intézett értesítések ellenére csak az AMD adott ki választ, amelyben kijelentették, hogy nem hiszik, hogy a kutatók kizsákmányolást demonstráltak termékeik ellen.

A kutatók a mikrofonhoz vagy a kamerához való hozzáféréshez hasonló engedélyezési felugró ablak bevezetését javasolták a kockázat csökkentése érdekében. A Chromium csapata azonban fenntartásait fejezte ki, arra hivatkozva, hogy a felhasználói súrlódások növelhetők anélkül, hogy arányos biztonsági előnyök származnának.

Ez a feltárás rávilágít arra, hogy kritikusan fontos proaktív intézkedésekre van szükség a böngészőn belüli GPU-hozzáférés biztosítására, mivel a biztonsági rés kezelésének elmulasztása számos rosszindulatú tevékenységnek teheti ki a felhasználókat, az adatlopástól a titkos kriptovaluta bányászatig.