Una vulnerabilità recentemente identificata nei processori della serie M di Apple potrebbe avere implicazioni disastrose per gli utenti di criptovalute, con il potenziale di compromettere le chiavi private essenziali per proteggere le risorse digitali. Questo difetto, che risiede nel profondo della microarchitettura di questi chip, è stato segnalato per la prima volta da Ars Technica e dettagliato in un articolo pubblicato da un collettivo di ricercatori delle migliori università statunitensi.
Utenti Mac attenti: questo è fondamentale per i possessori di criptovalute
La vulnerabilità deriva da un canale laterale nel prefetcher dipendente dalla memoria dei dati (DMP) del chip, un meccanismo progettato per migliorare l'efficienza del calcolo. Tuttavia, questa funzionalità consente inavvertitamente l’estrazione di chiavi segrete durante le operazioni crittografiche, processo fondamentale per la sicurezza delle criptovalute e delle altre transazioni digitali.
“Il DMP […] utilizza i valori dei dati per fare previsioni […] se un valore dei dati 'assomiglia' a un puntatore, verrà trattato come un 'indirizzo' […] i dati di questo 'indirizzo' saranno portati nella cache, fuoriuscendo dai canali laterali della cache", hanno spiegato i ricercatori, sottolineando il rischio involontario rappresentato da questa ottimizzazione dell'hardware.
Soprannominato “GoFetch” dai suoi scopritori, questo metodo di attacco non richiede accesso amministrativo, sollevando allarmi sulla facilità con cui i malintenzionati potrebbero sfruttare questa vulnerabilità.
Secondo il team: "Non ci interessa che il valore dei dati venga precaricato, ma il fatto che i dati intermedi assomiglino a un indirizzo è visibile tramite un canale di cache ed è sufficiente per rivelare la chiave segreta nel tempo." Questa scoperta è particolarmente preoccupante per i possessori di criptovaluta, poiché le chiavi private sono il fulcro della sicurezza per i portafogli e le transazioni digitali.
Le implicazioni di GoFetch sono vaste e riguardano non solo i protocolli di crittografia tradizionali ma anche quelli progettati per resistere agli attacchi informatici quantistici. Ciò mette a rischio una vasta gamma di chiavi crittografiche, tra cui RSA e Diffie-Hellman, insieme ad algoritmi post-quantistici come Kyber-512 e Dilithium-2.
I ricercatori hanno riferito che "l'app GoFetch richiede meno di un'ora per estrarre una chiave RSA a 2048 bit e poco più di due ore per estrarre una chiave Diffie-Hellman a 2048 bit", evidenziando l'efficienza e il pericolo di questo vettore di attacco.
La mitigazione di questa vulnerabilità rappresenta una sfida significativa a causa della sua natura basata su hardware. Anche se è possibile sviluppare difese basate su software, queste spesso comportano un peggioramento delle prestazioni, in particolare sui dispositivi con chip della serie M più vecchi.
"Gli sviluppatori di software crittografico in esecuzione su processori M1 e M2 […] dovranno impiegare altre difese, quasi tutte comportano significative penalità in termini di prestazioni", hanno osservato i ricercatori, indicando una strada difficile da percorrere sia per gli sviluppatori che per gli utenti.
Apple deve ancora rilasciare una dichiarazione pubblica in merito ai risultati di GoFetch, lasciando la comunità tecnologica e gli utenti crittografici in impaziente attesa di una risposta. Nel frattempo, i ricercatori consigliano agli utenti finali di cercare aggiornamenti software che risolvano specificamente questa vulnerabilità.
Dato il processo manuale e lento necessario per valutare la vulnerabilità di un'implementazione, la comunità crittografica si trova ad affrontare un periodo di incertezza e rischio elevato.
Al momento della stesura di questo articolo, il prezzo del Bitcoin era pari a 63.396 dollari, in calo del 5,1% nelle ultime 24 ore.
