Cloudflare Workers rà soát lại rủi ro tấn công Spectre từ xa
"The article describes a reassessment of remote Spectre attacks against Cloudflare Workers and reports that researchers were able to reliably demonstrate a production attack leaking up to 12 bit/s with 99% accuracy. The work identified a limitation in Dynamic Process Isolation (DyPrIs) and led to mitigations including improvements to DyPrIs, integration of the V8 Sandbox, and an in-process isolation mechanism; the article notes the attack was already mitigated in production and no active exploitation was found."
Rò rỉ dữ liệu qua kênh kề có thể xảy ra ngay cả khi mã đã được cô lập ở mức ngôn ngữ; Spectre từ xa làm tăng rủi ro trên môi trường dùng chung. Biện pháp giảm thiểu đã được triển khai, nhưng cần tiếp tục củng cố DyPrIs và cô lập trong tiến trình.
Ảnh hưởng chính là yêu cầu tăng cường kiểm soát bảo mật cho nền tảng chạy đa thuê bao; có thể phát sinh chi phí vận hành và độ phức tạp cao hơn khi áp dụng thêm lớp cô lập. Tuy nhiên, theo công bố, chưa ghi nhận khai thác thực tế.
Cloudflare cho biết đã đánh giá lại nguy cơ tấn công Spectre từ xa trên Cloudflare Workers sau khi xuất hiện các kỹ thuật ổn định khai thác mới. Trong thử nghiệm nội bộ trên môi trường sản xuất, nhóm nghiên cứu đã chứng minh được một kịch bản tấn công có thể rò rỉ dữ liệu với tốc độ lên tới 12 bit/s và độ chính xác 99%. Kết quả này cho thấy một hạn chế trong Dynamic Process Isolation (DyPrIs), cơ chế được triển khai từ năm 2021 để cô lập các script có dấu hiệu độc hại vào tiến trình riêng.
Từ phát hiện này, hệ thống đã được tăng cường bằng cách cải tiến DyPrIs, tích hợp V8 Sandbox và bổ sung cơ chế cô lập trong tiến trình nhằm giảm nguy cơ rò rỉ bộ nhớ. Theo thông tin công bố, kỹ thuật tấn công nêu trên đã được giảm thiểu trong môi trường sản xuất nhờ các biện pháp của đội vận hành Cloudflare Workers Runtime, và không ghi nhận dấu hiệu khai thác đang diễn ra trong 3 năm gần đây.
Với các nền tảng chạy mã không tin cậy trên hạ tầng dùng chung, khuyến nghị là tiếp tục giới hạn timer, tách biệt tiến trình khi cần thiết, rà soát các kênh rò rỉ vi kiến trúc và duy trì cập nhật các lớp phòng vệ ở runtime.