各位观众老爷们，大家好！今天咱们来聊点刺激的，关于 JavaScript 在浏览器里搞事情，而且是偷偷摸摸的那种——旁路攻击。
开场白：JavaScript，你这浓眉大眼的也叛变了？
JavaScript，作为前端工程师的老伙计，天天跟我们打交道，似乎一直都是个老实巴交的脚本语言。然而，就像《无间道》里说的，谁知道它是不是卧底呢？ 事实上，在特定的环境下，JavaScript 确实可以被用来进行一些“不太光彩”的事情，比如旁路攻击。
什么是旁路攻击？
简单来说，旁路攻击不是直接攻击你的代码逻辑，而是通过观察程序的运行状态（比如运行时间、功耗等等），来推断出一些敏感信息。 就像侦探不是直接审问犯人，而是观察犯人的表情、肢体语言来判断他是否在撒谎。
今天咱们主要讲两个主角：Cache Timing Attacks 和 Spectre
这两个家伙，都是旁路攻击家族里的狠角色，在浏览器环境下，它们都能给咱们的安全带来不小的麻烦。
第一幕：Cache Timing Attacks – 缓存，你出卖了我！
-
什么是 Cache？
首先，我们需要了解什么是 Cache。 缓存就像是电脑的“小抄本”，它会把经常用到的数据暂时存起来，下次再用的时候就不用费劲去硬盘或者内存里找了，直接从 Cache 里拿，速度快很多。 浏览器也有 Cache，用来缓存网页内容、图片等等。
-
Cache Timing Attacks 的原理
Cache Timing Attacks 的原理就是利用 Cache 的访问时间差异。 访问 Cache 里的数据比访问内存里的数据快得多。 如果攻击者能够控制某些数据的访问，并且测量访问时间，那么他就可以推断出这些数据是否在 Cache 里。
举个例子：
// 目标： 猜测 secret[0] 的值 const secret = "abcdefgh"; const probeArray = new Array(256 * 1024 * 1024); // 足够大的数组，确保 Cache 替换 const attackerControlledIndex = (index) => { // 确保访问的索引在合理范围内 return index % 256; }; const timeAccess = (index) => { const startTime = performance.now(); probeArray[attackerControlledIndex(index) * 64]; // 乘64是因为cache line大小通常是64字节 const endTime = performance.now(); return endTime - startTime; }; const attack = () => { // 训练 Cache，让 probeArray 不在 Cache 中 for (let i = 0; i < 256; i++) { probeArray[attackerControlledIndex(i) * 64] = 1; } // 访问 secret[0] 对应的 probeArray 索引，让它进入 Cache const secretIndex = secret.charCodeAt(0); timeAccess(secretIndex); // 测量访问 probeArray 中每个索引的时间 const timings = []; for (let i = 0; i < 256; i++) { timings[i] = timeAccess(i); } // 找出访问时间最短的索引，它最有可能被 Cache 住，对应的就是 secret[0] 的值 let bestGuess = 0; let minTime = Infinity; for (let i = 0; i < 256; i++) { if (timings[i] < minTime) { minTime = timings[i]; bestGuess = i; } } console.log("猜测的 secret[0] 的值为:", String.fromCharCode(bestGuess)); }; attack();这段代码模拟了一个简单的 Cache Timing Attack。
secret是我们要猜测的秘密字符串。probeArray是一个很大的数组，用于操纵 Cache。timeAccess函数测量访问数组元素的时间。attack函数首先训练 Cache，然后访问secret[0]对应的数组索引，让它进入 Cache。 之后，它测量访问数组中每个索引的时间，并找出访问时间最短的索引，这个索引对应的字符很可能就是secret[0]的值。
注意： 这段代码只是一个简化版的演示，实际的 Cache Timing Attack 会更加复杂，需要考虑更多的因素，比如浏览器的 Cache 机制、CPU 的 Cache 机制等等。
-
Cache Timing Attacks 的危害
Cache Timing Attacks 可以被用来窃取各种敏感信息，比如：
- 密码： 如果你的密码在某些操作中被用到，攻击者可以通过 Cache Timing Attacks 来推断出密码的内容。
- 密钥： 加密算法的密钥如果被泄露，那整个加密体系就崩塌了。
- 其他敏感数据： 任何在内存中被访问的数据，都有可能被 Cache Timing Attacks 窃取。
-
如何防御 Cache Timing Attacks？
防御 Cache Timing Attacks 是一个非常困难的任务，因为 Cache 是 CPU 的底层机制，我们很难直接控制。 不过，我们可以采取一些措施来降低风险：
- 使用 Constant-Time 算法： Constant-Time 算法是指算法的执行时间不依赖于输入数据。 这样，攻击者就无法通过测量时间来推断出敏感信息。 但是，Constant-Time 算法通常比普通的算法慢。
- 禁用 JavaScript 的高精度计时器： 浏览器提供了一些高精度计时器，比如
performance.now()，攻击者可以使用这些计时器来精确测量时间。 禁用这些计时器可以增加攻击的难度。 - 使用 Site Isolation： Site Isolation 是浏览器的一种安全机制，它可以将不同的网站隔离到不同的进程中。 这样，即使一个网站被攻击，攻击者也无法访问其他网站的数据。
- 定期更新浏览器和操作系统： 浏览器和操作系统会不断修复安全漏洞，定期更新可以减少被攻击的风险。
第二幕：Spectre – 幽灵般的攻击
-
什么是 Spectre？
Spectre 是一种利用 CPU 预测执行漏洞的攻击方式。 CPU 为了提高性能，会预测程序未来的执行路径，并提前执行一些指令。 如果预测错误，CPU 会回滚，但是一些副作用（比如 Cache 的状态）可能会被留下。 Spectre 攻击就是利用这些副作用来窃取敏感信息。
-
Spectre 的原理
Spectre 攻击的原理比较复杂，简单来说，它分为以下几个步骤：
- 训练 CPU 的预测器： 攻击者会构造一些代码，让 CPU 的预测器认为某个分支很可能会被执行。
- 诱导 CPU 错误预测： 攻击者会诱导 CPU 错误地预测分支，执行一些本不应该执行的指令。
- 利用副作用窃取信息： 即使 CPU 回滚了，一些副作用（比如 Cache 的状态）仍然会被留下。 攻击者可以通过观察这些副作用来窃取敏感信息。
举个例子：
// 假设有一个受保护的数组 const array1 = new Uint8Array(256 * 1024); //1/4 MB const array2 = new Uint8Array(256); // 访问受保护数组的函数 function accessArray(index) { if (index < array1.length) { return array1[index]; } else { return 0; // 防止越界 } } // 攻击函数，尝试读取 array1 之外的内存 function attacker(index) { // 1. 训练分支预测器 for (let i = 0; i < 1000; i++) { accessArray(7); } // 2. 诱导 CPU 错误预测 let value; if (index < array1.length) { value = accessArray(index); // 正常访问 } else { // 如果 index 越界，会触发错误预测，但 CPU 仍然会尝试访问 array1[index] // 并将 array1[index] 的值加载到 Cache 中 value = accessArray(index); } // 3. 利用副作用窃取信息 (Cache Timing Attack) // 测量访问 array2 的时间，如果 array2[value] 被 Cache 住，说明 value 就是 array1[index] 的值 let timings = []; for (let i = 0; i < array2.length; i++) { const startTime = performance.now(); array2[i]; // 访问 array2[i] const endTime = performance.now(); timings[i] = endTime - startTime; } // 找出访问时间最短的索引，它最有可能被 Cache 住，对应的就是 value 的值 let bestGuess = 0; let minTime = Infinity; for (let i = 0; i < array2.length; i++) { if (timings[i] < minTime) { minTime = timings[i]; bestGuess = i; } } console.log("猜测的值:", bestGuess); } // 尝试访问 array1 之外的内存 attacker(500000);这段代码模拟了一个简单的 Spectre 攻击。
array1是一个受保护的数组，我们不应该直接访问它之外的内存。array2是一个用于 Cache Timing Attack 的数组。accessArray函数用于访问array1，如果索引越界，它会返回 0。attacker函数首先训练分支预测器，然后诱导 CPU 错误预测，访问array1之外的内存。 即使 CPU 回滚了，array1中对应位置的值仍然会被加载到 Cache 中。 之后，它使用 Cache Timing Attack 来窃取这个值。
注意： 这段代码只是一个简化版的演示，实际的 Spectre 攻击会更加复杂，需要考虑更多的因素，比如 CPU 的预测机制、Cache 的机制等等。
-
Spectre 的危害
Spectre 可以被用来窃取各种敏感信息，比如：
- 内核数据： Spectre 可以突破用户态和内核态的隔离，窃取内核数据。
- 其他进程的数据： Spectre 可以突破进程间的隔离，窃取其他进程的数据。
- 浏览器中的数据： Spectre 可以被用来窃取浏览器中的密码、Cookie 等敏感信息。
-
如何防御 Spectre？
防御 Spectre 是一个非常困难的任务，因为它涉及到 CPU 的底层机制。 目前，主要的防御手段包括：
- 微代码更新： CPU 厂商会发布微代码更新来修复 Spectre 漏洞。
- 操作系统更新： 操作系统会采取一些措施来缓解 Spectre 的影响，比如 KPTI（Kernel Page Table Isolation）。
- 编译器优化： 编译器可以生成一些代码来避免 CPU 错误预测。
- Site Isolation： Site Isolation 可以将不同的网站隔离到不同的进程中，降低 Spectre 攻击的风险。
第三幕：JavaScript 和旁路攻击的爱恨情仇
-
JavaScript 为何会成为旁路攻击的帮凶？
JavaScript 本身并没有什么恶意，但是它的一些特性，使得它更容易被用于旁路攻击：
- 动态性： JavaScript 是一种动态语言，它可以动态地生成代码、修改对象等等。 这使得攻击者更容易构造复杂的攻击代码。
- 可访问性： JavaScript 可以访问浏览器提供的各种 API，比如
performance.now()。 攻击者可以使用这些 API 来测量时间、操纵 Cache 等等。 - 跨域性： JavaScript 可以通过 CORS 等机制来跨域访问其他网站的数据。 这使得攻击者可以窃取其他网站的敏感信息。
-
浏览器厂商的努力
浏览器厂商一直在努力防御旁路攻击，他们采取了各种措施，比如：
- 禁用高精度计时器： 一些浏览器已经禁用了 JavaScript 的高精度计时器，或者降低了计时器的精度。
- 实施 Site Isolation： Chrome、Firefox 等浏览器已经实施了 Site Isolation，将不同的网站隔离到不同的进程中。
- 修复 CPU 漏洞： 浏览器厂商会与 CPU 厂商合作，及时修复 CPU 漏洞。
总结：安全之路，任重道远
旁路攻击是一种非常隐蔽和复杂的攻击方式，它利用了 CPU 的底层机制，难以防御。 JavaScript 在浏览器环境中，由于其动态性、可访问性和跨域性，更容易被用于旁路攻击。
虽然浏览器厂商一直在努力防御旁路攻击，但是安全之路，任重道远。 作为前端工程师，我们需要了解旁路攻击的原理和危害，采取一些措施来降低风险，比如使用 Constant-Time 算法、禁用高精度计时器、使用 Site Isolation 等等。
尾声：安全无小事，防患于未然
好了，今天的讲座就到这里。 希望大家能够对 JavaScript 的旁路攻击有一个更深入的了解。记住，安全无小事，防患于未然！ 感谢各位观众老爷的观看，咱们下期再见！