Zdalny atak GPU stwarza ryzyko, że przeglądarki umożliwią stronom internetowym dostęp do kart graficznych w celu wykorzystania potencjalnych exploitów do wydobywania kryptowalut
Naukowcy z Politechniki w Grazu w Austrii i Uniwersytetu w Rennes we Francji ujawnili niepokojącą lukę w zabezpieczeniach jednostek przetwarzania grafiki (GPU), która może zostać potencjalnie wykorzystana do wydobywania kryptowalut i innych złośliwych działań. To nowo odkryte zagrożenie atakuje popularne przeglądarki i karty graficzne.
Luka koncentruje się wokół WebGPU, interfejsu API umożliwiającego twórcom stron internetowych korzystanie z procesora graficznego komputera w celu wykonywania wymagających zadań o wysokiej wydajności bezpośrednio w przeglądarce internetowej. Dzięki sprytnej manipulacji tym interfejsem API za pomocą JavaScript badacze zademonstrowali wektor zdalnego ataku, który działa całkowicie w przeglądarce, eliminując potrzebę bezpośredniego dostępu do natywnych interfejsów API GPU.
Ta metoda ataku stanowi jeden z najwcześniejszych przypadków ataku kanału bocznego na pamięć podręczną procesora graficznego, pochodzącego z przeglądarki internetowej. Zachęcając użytkowników do odwiedzenia złośliwej witryny internetowej zawierającej kod exploita, osoby atakujące mogą wykonać exploit zdalnie, bez interakcji z użytkownikiem poza zwykłym pozostaniem w witrynie przez kilka minut.
Konsekwencje tej luki są znaczące. Atak można wykorzystać do ataków z synchronizacją między naciśnięciami klawiszy, potencjalnie ujawniając poufne informacje, takie jak hasła na podstawie czasu naciśnięcia klawiszy. Co więcej, umożliwia ekstrakcję kluczy szyfrujących AES opartych na GPU i ustanawia tajne kanały eksfiltracji danych przy umiarkowanych szybkościach transmisji.
Badacze podkreślają potrzebę, aby dostawcy przeglądarek traktowali dostęp do procesora graficznego z taką samą ostrożnością, jak w przypadku innych zasobów wrażliwych na bezpieczeństwo. Lukas Giner, jeden z badaczy, podkreśla ryzyko stwarzane przez przeglądarki przyznające stronom internetowym nieograniczony dostęp do procesora graficznego systemu hosta, powołując się na możliwość ukrytych ataków, a nawet tajnych operacji wydobywania kryptowalut bez wiedzy użytkownika.
Badanie dotyczyło szeregu kart graficznych do komputerów stacjonarnych, zarówno firm AMD, jak i NVIDIA, i dotyczyło przeglądarek obsługujących WebGPU, w tym Chrome, Chromium, Edge i Firefox Nightly. Pomimo powiadomień skierowanych do programistów Mozilli, AMD, NVIDIA i Chromium, tylko firma AMD udzieliła odpowiedzi, stwierdzając, że nie wierzy, że badacze wykazali exploit w ich produktach.
Aby zmniejszyć ryzyko, badacze zasugerowali wdrożenie wyskakującego okienka z pozwoleniem, podobnego do tych dotyczących dostępu do mikrofonu lub kamery. Jednak zespół Chromium wyraził zastrzeżenia, powołując się na możliwość zwiększenia tarć wśród użytkowników bez proporcjonalnych korzyści w zakresie bezpieczeństwa.
To odkrycie podkreśla krytyczną potrzebę proaktywnych środków w celu zabezpieczenia dostępu do procesora graficznego w przeglądarkach, ponieważ niezastosowanie się do tej luki może narazić użytkowników na szereg złośliwych działań, od kradzieży danych po tajne wydobywanie kryptowalut.