Portas lógicas ocultas encontradas em alguns CPUs x86 - Rosenbridge documenta uma camada de execução oculta

Um pesquisador documentou capacidades de execução não divulgadas em certos processadores x86 - um núcleo RISC oculto que opera abaixo do SO e do hipervisor, sem visibilidade para ferramentas de monitoramento de segurança.

Em termos simples: A pesquisa Rosenbridge (github.com/xoreaxeaxeax/rosenbridge, DEF CON 2018) documenta núcleos RISC ocultos dentro de certos processadores x86 que podem executar instruções sem visibilidade para o SO ou hipervisor. Um atacante com acesso inicial poderia executar código abaixo dos anéis de privilégio do kernel — em um espaço que as ferramentas de monitoramento de segurança não conseguem acessar.

A pesquisa não é teórica. O coprocessador é ativado por meio de um registrador específico do modelo (MSR) que habilita um modo de execução oculto. O valor do MSR é não documentado e não divulgado pelo fabricante do chip. A longa história do x86 de instruções não documentadas torna essa classe de vulnerabilidade estruturalmente plausível além do silício específico documentado.

[Por baixo dos panos] Os anéis de privilégio da CPU (anéis 0-3) são a base da segurança do SO. Uma porta dos fundos operando abaixo do anel 0 anula a detecção no nível do kernel, o isolamento do hipervisor e a maioria das ferramentas EDR. A detecção requer atestação no nível de hardware — não varredura por software.

E daí: À medida que cargas de trabalho de IA se concentram em frotas de servidores x86 de commodity (incluindo infraestrutura de nuvem compartilhada), a confiança na cadeia de suprimentos de hardware torna-se um problema mais difícil. Isso deve fazer parte do modelo de ameaças de qualquer equipe que execute inferência de IA sensível em hardware compartilhado ou de terceiros — especialmente em jurisdições onde a origem da fabricação da CPU é opaca.