تکین آنالیز | سقوط ایزولاسیون سرورلس؛ حمله ریموت Spectre به کلودفلر و سرقت JWT

معماری پردازش لبه (Edge Computing) و سرویس‌های سرورلس چندمستاجره (Multi-Tenant) طی سال‌های اخیر به عنوان استاندارد طلایی سرعت و کارایی در اینترنت مدرن شناخته شده‌اند. پلتفرم‌هایی نظیر کلودفلر ورکرز (Cloudflare Workers) با اجرای کدهای هزاران مشتری مختلف درون یک پروسس واحد سیستم‌عامل از طریق ایزوله‌های سبک‌وزن موتور V8 گوگل، وعده ارائه نهایت سرعت را در کنار امنیت داده بودند.

اما یک مقاله پژوهشی مشترک میان مهندسان امنیتی کلودفلر و پژوهشگران دانشگاه ادینبورگ، این فرض بنیادی را به لرزه درآورده است. این پژوهش نشان می‌دهد که نفوذگران با بهره‌گیری از آسیب‌پذیری‌های اجرای حدسی در پردازنده‌ها (Spectre) و ساخت ساعت‌های ریموت شبکه، قادرند کلیدهای رمزنگاری و توکن‌های احراز هویت JWT سایر مشتریان را مستقیماً از حافظه رم استخراج کنند.

شکنندگی مرزهای ایزولاسیون؛ وقتی کانتینرها جای خود را به ایزوله‌ها می‌دهند

برای درک عمق این رخداد، باید نگاهی به تفاوت بنیادین میان سرورهای ابری سنتی و ورکرزهای مدرن انداخت. در ماشین‌های مجازی سنتی (VM) و کانتینرهای داکر، هر مشتری درون یک مرز سخت‌افزاری یا کرنل ایزوله قرار می‌گیرد که راه‌اندازی آن صدها میلی‌ثانیه زمان می‌برد و حافظه زیادی مصرف می‌کند.

کلودفلر برای به صفر رساندن زمان راه‌اندازی (Cold Start)، به جای کانتینرها از ایزوله‌های موتور جاوااسکریپت V8 استفاده کرد. در این مدل، کدهای مشتری الف و مشتری ب درون یک فضای آدرس‌دهی حافظه مشترک بر روی یک پردازنده فیزیکی اجرا می‌شوند و امنیت آنها صرفاً به ایزولاسیون لایه نرم‌افزاری V8 وابسته است؛ فرضیه‌ای که حمله ریموت اسپکتر آن را به چالش کشیده است.

اگرچه شرکت کلودفلر رسماً اعلام کرده که هیچ نشانه‌ای از سوءاستفاده خرابکارانه از این آسیب‌پذیری در سه سال گذشته کشف نشده و تمام وصله‌های امنیتی بلافاصله روی شبکه سراسری اعمال شده‌اند، اما ماهیت این کشف زنگ خطری جدی برای تمام ارائه‌دهندگان پردازش لبه در جهان است.

ترمینولوژی و اصطلاحات تخصصی معماری نفوذ اسپکتر

برای دنبال کردن جزییات کالبدشکافی فنی، مرور واژگان بنیادین این شاخه از امنیت سخت‌افزار و رایانش ابری ضروری است.

کالبدشکافی فنی حمله؛ چگونه ساعت‌های ریموت قفل حافظه را شکستند؟

حملات کانال جانبی اسپکتر اساساً بر اندازه‌گیری زمان دقیق دسترسی به کش پردازنده تکیه دارند. پردازنده‌های مدرن سرور برای افزایش چشمگیر سرعت محاسبات، شاخه‌های شرطی کدها را به صورت حدسی قبل از مشخص شدن قطعی نتیجه شرط اجرا می‌کنند. اگر حدس پردازنده اشتباه باشد، تغییرات محاسباتی برگردانده می‌شوند اما ردپای داده‌های بارگذاری شده در سطوح حافظه کش L1 و L2 باقی می‌ماند.

کلودفلر برای مقابله با این حملات، دسترسی به تمام توابع سنجش زمان با دقت بالا مانند performance.now() و تایمرهای ریزثانیه‌ای را در محیط ورکرز به شدت مسدود کرده و نویز تصادفی به آنها افزوده بود. مهاجم بدون یک تایمر محلی فوق‌العاده دقیق نمی‌توانست تفاوت نانوثانیه‌ای بین برخورد کش (Cache Hit) و عدم برخورد (Cache Miss) را در لایه کدنویسی جاوااسکریپت تشخیص دهد.

شاهکار مهندسی این مقاله تحقیقاتی مشترک تحت عنوان «Remote-Timer-as-a-Service» دقیقاً در غلبه بر این سد دفاعی شکل گرفت. محققان به جای اتکا به تایمر محلی سیستم‌عامل، یک اتصال دائمی دوطرفه وب‌سوکت (WebSocket) میان سرور خارجی تحت کنترل خود و ورکر مهاجم برقرار کردند و از توالی زمان رفت و برگشت پکت‌های شبکه به عنوان یک اوراکل زمانی فوق‌العاده پایدار و با رزولوشن بالا بهره بردند.

با ترکیب این ساعت ریموت شبکه با تکنیک‌های پیشرفته آموزش شاخه حدسی پردازنده (Branch Target Injection)، پژوهشگران موفق شدند داده‌های بایت‌به‌بایت حافظه ورکر مجاور را با سرعت خارق‌العاده ۱۲ بیت بر ثانیه و با دقت اعتبارسنجی فراتر از ۹۹ درصد بازخوانی کنند؛ سرعتی که امکان سرقت یک توکن کامل امنیتی ۲۵۶ بیتی را در کمتر از چند دقیقه فراهم می‌سازد.

نکته تکان‌دهنده در آزمایش‌های عملی این بود که فرآیند استخراج داده‌ها به صورت کاملاً غیرمخرب و بدون ایجاد هیچ‌گونه کرش (Crash) یا خطای سیستمی در ورکر قربانی انجام شد. این به آن معناست که در سناریوهای واقعی، قربانی بدون مشاهده هیچ‌گونه افت عملکرد یا لاگ خطا در داشبورد خود، متوجه نشت کلیدهای حساس نخواهد شد.

جدول مقایسه پارامترهای نفوذ و نرخ استخراج داده‌ها

برای درک بهتر پیشرفت این متدولوژی نسبت به اولین نسل حملات کشف‌شده روی پردازش لبه، جدول زیر ویژگی‌های حمله جدید را با دستاوردهای سال ۲۰۲۱ مقایسه می‌کند.

گاه‌شمار رخنه‌های ایزولاسیون و کانال‌های جانبی سخت‌افزاری (۲۰۱۸ تا ۲۰۲۶)

داستان آسیب‌پذیری‌های اجرای حدسی از سال ۲۰۱۸ آغاز شد و اکنون پس از هشت سال به پیچیده‌ترین فاز خود در معماری‌های سرورلس و کانتینرهای اشتراکی رسیده است.

معماری دفاعی کلودفلر؛ سپر سه‌لایه در برابر رخنه‌های لبه

پس از دریافت گزارش این آسیب‌پذیری توسط تیم‌های تحقیقاتی، مهندسان کلودفلر یک استراتژی دفاعی سه‌لایه را در سرتاسر شبکه مراکز داده جهانی خود مستقر ساختند تا بدون افزایش تاخیر یا از بین رفتن مزیت سرعت ورکرزها، راه نفوذ اسپکتر را به طور قطعی مسدود کنند.

این سه ستون امنیتی مرزهای ایزولاسیون را از یک لایه نرم‌افزاری شکننده به یک معماری ترکیبی نرم‌افزار-سخت‌افزار ارتقا داده‌اند که در آن، حتی در صورت فریب خوردن پیش‌بینی‌کننده شاخه‌های پردازنده، سخت‌افزار سرور مانع از جابجایی بیت‌ها می‌شود.

به کارگیری قابلیت سخت‌افزاری Intel MPK در این مقیاس، یکی از بزرگ‌ترین گام‌های عملی در ایمن‌سازی پلتفرم‌های لبه محسوب می‌شود. در این روش، جابجایی بین مجوزهای دسترسی به صفحات حافظه در کسری از نانوثانیه و بدون نیاز به سوئیچ پرهزینه به فضای هسته سیستم‌عامل (Kernel Context Switch) انجام می‌گیرد، در نتیجه سرعت خیره‌کننده اجرای ورکرزها به طور کامل حفظ می‌شود.

همان‌گونه که در گزارش‌های پیشین پیرامون بهره‌برداری‌های سایبری و فیشینگ ایجنت‌ها در پرونده امنیت سایبری AgentForger نشان دادیم، غفلت از لایه‌های دفاعی سخت‌افزاری می‌تواند در چند ثانیه حاکمیت داده‌های یک سازمان را از بین ببرد.

ماتریس مقایسه معماری ایزولاسیون در پلتفرم‌های برتر پردازش ابری ۲۰۲۶

در جدول زیر، رویکرد چهار غول پردازش سرورلس جهان در زمینه امنیت حافظه، زمان اجرای اولیه (Cold Start) و مدل‌های ایزولاسیون مستاجران با یکدیگر مقایسه شده است.

توسعه‌دهندگان علاقه‌مند به مباحث تزریق کد و آسیب‌پذیری‌های نرم‌افزارهای مدرن می‌توانند تحلیل جامع ما در مورد پرونده پرامپت اینجکشن در محاکم قضایی و آخرین تحولات امنیتی را در هفته‌نامه تخصصی تکین‌گیم مطالعه نمایند.

راهنمای امن‌سازی و اقدامات عملی برای توسعه‌دهندگان ایرانی

برای شرکت‌ها، استارتاپ‌ها و توسعه‌دهندگان وب در ایران که به طور گسترده از CDN و ورکرز کلودفلر برای مدیریت ترافیک، توزیع بار و عبور از محدودیت‌های شبکه استفاده می‌کنند، اتخاذ تدابیر پیشگیرانه در لایه کدنویسی ضروری است.

حتی با وجود وصله‌های اعمال‌شده در سطح کلودفلر، معماران نرم‌افزار باید فرضیه «حافظه غیرقابل نفوذ» را کنار گذاشته و اپلیکیشن‌های خود را بر اساس الگوهای تاب‌آور در برابر نشت داده طراحی کنند.

جمع‌بندی نهایی و افق امنیت در رایانش لبه

افشای جزئیات فنی نفوذ ریموت اسپکتر به کلودفلر ورکرز یادآور یک حقیقت بنیادین در مهندسی کامپیوتر است: مرزهای نرم‌افزاری هرگز نمی‌توانند نقایص بنیادین معماری پردازنده‌ها را به طور کامل پنهان سازند. هنگامی که سرعت به عنوان اولویت اول انتخاب می‌شود، همواره روزنه‌ای برای حملات کانال جانبی پدیدار خواهد شد.

پاسخ قاطع کلودفلر و استقرار سپرهای سخت‌افزاری MPK نشان داد که آینده رایانش لبه در گرو همگرایی عمیق میان سیستم‌عامل، موتورهای کامپایل درجا (JIT) و ثبات‌های سخت‌افزاری است؛ آینده‌ای که در آن سرعت فوق‌العاده بدون قربانی کردن ایزولاسیون محقق خواهد شد.