För många var det som blixt från klar himmel när säkerhetshålen Meltdown och Spectre uppenbarades år 2018. Kortfattat innebär de att illvilliga angripare kan komma runt den hierarkiska struktur som finns i en modern processor, som ska förhindra underordnade processer att nå känslig information. Sedan dess har korrigeringar och upptäckter av nya säkerhetshål avlöst varandra, men generellt är de svåra att utnyttja i praktiken, varför vanliga användare sällan behöver vara oroliga.

Hertzbleed takes advantage of our experiments showing that, under certain circumstances, the dynamic frequency scaling of modern x86 processors depends on the data being processed. This means that, on modern processors, the same program can run at a different CPU frequency (and therefore take a different wall time) when computing, for example, 2022 + 23823 compared to 2022 + 24436.

Nu rapporterar säkerhetsforskare om en ny gren av sårbarheter kallad Hertzbleed, som drabbar processorer med dynamisk klockfrekvens, alltså att klockfrekvensen justeras beroende på last, temperatur och effektbudget. Genom att nyttja att belastningen på ett system varierar baserat på operationer, kan en angripare övervaka klockfrekvenserna och kombinera det med tidsåtgång för att få ut krypterad information.

Sårbarheten gäller alla Intel-processorer och de flesta AMD-varianterna, eftersom turboläge är en funktion som erbjuds med en majoritet av bolagens produkter. Forskarna har i dagsläget hunnit med att bekräfta Hertzbleed för Core 8000- till Core 11000-serierna, samt med Zen 2- och Zen 3-baserade processorer. Processorer från andra tillverkare, exempelvis ARM-baserade alternativ, väntas också vara påverkade, förutsatt att de har dynamiska klockfrekvenser.

To our knowledge, Intel and AMD do not plan to deploy any microcode patches to mitigate Hertzbleed. However, Intel provides guidance to mitigate Hertzbleed in software. Cryptographic developers may choose to follow Intel’s guidance to harden their libraries and applications against Hertzbleed.

Åtgärder i form av mikrokodsuppdateringar från Intel och AMD är dock inte planerade. Eftersom turbofrekvenser är roten till problemet är den enda enkla åtgärden att stänga av dessa, vilket kommer med kraftigt sänkt prestanda. I både bärbara och stationära datorer spelar turbofrekvenserna en viktig roll, eftersom de tillåter en balans mellan energieffektivitet och hög prestanda när lasten kräver det.

Problemen går också att åtgärda i mjukvara, något Microsoft och Cloudflare implementerat, på bekostnad av 5–11 procent prestanda. Företag som påverkas av Hertzbleed underrättades redan förra hösten, varför offentliggörandet inte kommer med några större säkerhetshot. För den som är nyfiken på att läsa mer om detaljerna finns en 19 sidor lång rapport att tillgå (PDF).