Come funziona Hertzbleed, spiegato semplice?

Mi hanno di recente segnalato una vulnerabilità informatica, chiamata “Hertzbleed”, che riguarda le CPU (cioè i processori, ovvero le componenti elettroniche dei computer che eseguono i programmi). Come funziona Hertzbleed? Come difendersi? Vediamo di capirlo per bene.

Cos’è una vulnerabilità informatica? È un difetto, tipicamente dovuto ad un errore umano, che consente agli hacker di accedere ad informazioni riservate (quasi sempre credenziali di accesso). Le vulnerabilità informatiche riguardano sia i software (i programmi per computer) che gli hardware (le componenti fisiche). Hertzbleed è una vulnerabilità che affligge le CPU prodotte da Intel ed AMD.

Per capire come funziona Hertzbleed, immagina di essere di fronte ad un albero di Natale. Hai davanti a te la scatola contenente il tuo regalo e muori dalla voglia di sapere cosa contenga, però senza farti scoprire. Un hacker, di solito, tenta di togliere la carta e di rimetterla a posto in modo da non lasciare tracce.

Ci sono però altri modi di scoprire quale sia il tuo regalo. Potresti ad esempio scuotere la scatola, per capire (almeno sommariamente) la forma ed il peso del contenuto. Ora, fai finta che la CPU sia la scatola. Attraverso la CPU passano informazioni molto sensibili (come ad esempio password o chiavi di crittografia). Solo che l’hacker non vi può fisicamente accedere. Hertzbleed consente però all’hacker di “scuotere la scatola” per cercare di capire quali informazioni stiano passando dalla CPU.

In che modo? Le CPU hanno una determinata “frequenza di lavoro”, che si misura in “gigahertz”. Più gigahertz ha una CPU e più essa risulta veloce. Le CPU moderne non lavorano sempre alla frequenza massima. Sono fatte in modo da alzarla solo quando il computer ha bisogno di più potenza di calcolo. Se giochi ad un videogame o usi un programma di montaggio video, ad esempio, hai bisogno di tutta la potenza di calcolo possibile.

Ebbene, misurando i cambiamenti della frequenza di una CPU è possibile capire quali dati vi stiano passano dentro! Sembra assurdo ma è proprio così: è stato dimostrato durante dei test di laboratorio. Intel ed AMD hanno dichiarato che “le implicazioni sulla sicurezza sono notevoli” ma anche che “è altamente improbabile che questa vulnerabilità venga usata nel mondo reale”, perché è praticamente impossibile riprodurre le condizioni di laboratorio nel quale Hertzbleed è stata rilevata.