Apple M-serie chips hebben ernstige beveiligingsfout ingebakken, fix zal resulteren in prestatievermindering

Een team onderzoekers heeft een ernstig beveiligingslek ontdekt, genaamd "GoFetch", in Apple's befaamde M-serie silicium. De onderzoekers hebben een app gemaakt met de naam GoFetch die sleutels kan ontfutselen voor cryptografiemethoden zoals 2048-bits RSA-sleutels, DH-2048, Kyber-512 en Dilithium-2 in tijdsbestekken variërend van minder dan een uur tot ongeveer 10 uur. De fout zou vooral van invloed zijn op de M1- en M2-gebaseerde chips van Appleen maakt gebruik van een zogenaamd "zijkanaal" in de manier waarop de chips end-to-end sleutelextracties uitvoeren met betrekking tot typische beveiligingsgerelateerde scripts, waaronder authenticatietaken waarvoor beveiligingssleutels en encryptie nodig zijn.

Apple cryptoKit heeft een tool gemaakt waarmee ontwikkelaars gemakkelijker beveiligingscontroles voor hun apps kunnen implementeren, maar het probleem ligt niet bij de software van Apple, maar bij de microarchitectuur van de chips. Het resultaat is dat een aanvaller anders geheime sleutels kan ontfutselen om gegevens te decoderen. Aangezien de kwetsbaarheid is ingebakken in het silicium en de manier waarop bepaalde cryptografische taken worden afgehandeld, is de enige manier om dit te verhelpen het uitbrengen van een softwarepatch door Apple. Zoals Ars Technica echter benadrukt, zal het op deze manier patchen van het lek resulteren in een aanzienlijke prestatievermindering.

Het zwakke punt op chipniveau doet denken aan beveiligingsproblemen op siliconeniveau, zoals Meltdown en Spectre die sommige Intel, AMD, IBM en sommige Arm-gebaseerde chips troffen. In één test, na het aanbrengen van een patch om Spectre-V2 aan te pakken, zag een Intel Core i9-12900K (Alder Lake) chip prestatieverminderingen tussen tussen 14,5% en 26,7%. Apple moet nog officieel reageren op de beweringen van de onderzoeker, maar de onderzoekers hebben Apple op de hoogte gebracht van het probleem en er zou een patch moeten komen als Apple het probleem nog niet heeft opgelost.