Un equipo de investigación conjunto que incluye a investigadores de la Universidad KU Leuven de Bélgica y del instituto EURECOM ha publicado un documento técnico detallado que presenta una nueva innovación de seguridad llamada «SecDMP», un sistema de hardware diseñado específicamente para abordar las vulnerabilidades de seguridad asociadas con las unidades de prebúsqueda dependientes de la memoria de datos (Data Memory-Dependent Prefetchers o DMP en abreviatura) en los procesadores de computadoras.
Las unidades de prebúsqueda de datos dependen de adivinar los datos que el procesador necesitará en el futuro y traerlos de antemano para mejorar la velocidad de rendimiento; sin embargo, este tipo de mejora estructural abre la puerta a vulnerabilidades de filtración de información sensible a través de canales laterales (Side-Channels). Los investigadores han demostrado, a través de la implementación de las primeras unidades DMP de código abierto en un procesador con arquitectura «RISC-V», que los medios de defensa actuales que intentan mantener la eficiencia del rendimiento son incapaces de proteger categorías enteras de estas filtraciones de seguridad.
¿Qué cambia prácticamente el sistema SecDMP?
El nuevo sistema ofrece una clasificación estructural precisa de las filtraciones de las unidades de prebúsqueda y clasifica los ataques existentes y nuevos con extrema precisión. La solución «SecDMP» se basa en una idea fundamental que se resume en etiquetar los datos confidenciales dentro de la memoria de manera clara, lo que garantiza que las unidades de prebúsqueda nunca codifiquen ni procesen estos secretos dentro de la microarquitectura del procesador, manteniendo plenamente el rendimiento de los datos públicos sin ningún impacto negativo.
Seguridad y recuperación de estándares reforzados
Los investigadores han demostrado matemática e ingenierilmente que el sistema SecDMP no introduce ninguna filtración adicional en comparación con los modelos básicos que carecen de unidades de prebúsqueda. Y lo que es más importante, la integración de esta solución con los mecanismos de defensa actuales contra la ejecución especulativa (Speculative Execution) restablece una seguridad completa para la microarquitectura del código que opera en tiempos constantes (Constant-Time Code), superando las limitaciones de seguridad anteriores.
Resultados de la evaluación experimental
Las pruebas prácticas y de implementación realizadas por el equipo de investigación confirmaron que la tecnología SecDMP logra prevenir todas las formas de filtración asociadas con las unidades de prebúsqueda, registrando un costo extremadamente marginal en los recursos de hardware y en el impacto sobre el rendimiento, lo que pavimenta el camino para el desarrollo de procesadores seguros y resistentes a ataques de canales laterales en el futuro.