Eksperimen End-to-End: Rekonstruksi Kebocoran Memori Lintas Tenant
Peneliti keamanan siber mengungkap rincian teknis dari temuan serangan Remote Spectre terhadap platform Cloudflare Workers yang berhasil mengekstrak data sensitif berupa JSON Web Token (JWT) dari Worker korban di lingkungan produksi. Eksploitasi ini mampu membocorkan data hingga kecepatan 12 bit per detik dengan tingkat akurasi 99,16% — sekitar 360 kali lebih cepat dibandingkan serangan serupa yang pernah didemonstrasikan pada tahun 2021.
Eksperimen end-to-end ini dilakukan secara terkontrol menggunakan Worker penyerang dan Worker korban yang keduanya dikelola oleh tim peneliti, di mana token JWT secara sengaja ditempatkan di dalam memori korban. Laporan riset menegaskan bahwa tidak ada data pelanggan publik yang terdampak maupun diakses dalam pengujian tersebut.
Akar Masalah: Isolasi Tingkat Bahasa vs Isolasi Proses Sistem Operasi
Arsitektur Cloudflare Workers dirancang untuk menjalankan kode dari berbagai penyewa (multi-tenant) di dalam V8 Isolates yang terpisah, namun berada di dalam satu proses sistem operasi (OS) yang sama. Pendekatan ini dipilih untuk memangkas latensi cold start hingga mendekati nol milidetik dibandingkan isolasi proses penuh berbasis container atau virtual machine.
Namun, jika terjadi pembacaan memori spekulatif di dalam proses yang dipakai bersama, batas isolasi antar-tenant dapat ditembus:
- Co-location Worker: Serangan mensyaratkan Worker penyerang dan Worker korban dialokasikan di dalam proses Worker yang sama pada server edge.
- Tanpa Zero-Day V8: Penyerang mengeksekusi kode JavaScript/WASM yang sepenuhnya valid tanpa memerlukan eksploitasi celah kernel atau sandbox escape pada mesin V8.
- Serangan Side-Channel CPU: Penyerang memanfaatkan kelemahan eksekusi spekulatif pada prosesor (Spectre) untuk mengintip data memori milik isolate lain.
Mekanisme Eksploitasi: Memanfaatkan WebSocket dan Durable Objects
Secara default, Cloudflare membatasi sumber pewaktuan (timing sources) lokal dengan membekukan atau mengaburkan resolusi timer CPU, serta melarang penggunaan shared memory dan multithreading pada script Worker.
Meskipun demikian, peneliti menemukan dua celah strategis untuk merealisasikan serangan:
- WebSocket sebagai Remote Timer: Komunikasi berkecepatan tinggi melalui WebSocket dimanfaatkan sebagai sumber pewaktuan jarak jauh yang presisi untuk mengukur latensi side-channel pada cache CPU.
- Durable Objects untuk Menjaga Siklus Hidup: Fitur Durable Objects memungkinkan sebuah isolate Worker tetap aktif berjalan selama 5 hingga lebih dari 20 jam secara berkelanjutan.
Karakteristik ini berhasil mengelabui mekanisme pertahanan DyPrIs (Dynamic Process Isolation) bawaan Cloudflare yang biasanya baru mengisolasi script mencurigakan ke proses terpisah setelah sebuah pemanggilan (invocation) selesai. Selain itu, tingginya lalu lintas I/O dari WebSocket memicu lonjakan aktivitas pada instruction translation lookaside buffer (iTLB), yang secara efektif meredam sinyal anomali branch-misprediction hingga berada di bawah ambang batas deteksi DyPrIs.
Kondisi Pengujian dan Hasil Pengukuran
Uji coba pada lingkungan produksi dilakukan di server Linux yang ditenagai prosesor AMD EPYC generasi Zen 2 dan Zen 3. Peneliti sengaja melakukan pengukuran pada malam hari ketika utilisasi CPU server berada di kisaran 10% hingga 25% untuk mendapatkan hasil transmisi terbaik.
Temuan utama riset menunjukkan:
- Tingkat kebocoran data mencapai 12 bits per second pada kondisi CPU rendah.
- Ketika beban server meningkat, kecepatan ekstraksi melambat namun serangan tetap layak dijalankan secara bertahap.
- Riset tahun 2021 hanya mencatat kecepatan 120 bit per jam (2 bit per menit), sehingga metode baru ini membuktikan peningkatan efisiensi serangan yang signifikan.
Lapisan Pertahanan & Mitigasi oleh Cloudflare
Menanggapi laporan ini, Cloudflare menyatakan bahwa seluruh kerentanan telah dimitigasi di lingkungan produksi melalui penerapan strategi pertahanan berlapis (defense-in-depth):
- Peningkatan DyPrIs: Memperkuat algoritma deteksi terhadap pola eksekusi spekulatif abnormal secara real-time.
- Integrasi V8 Sandbox: Membatasi akses memori transien spekulatif terhadap pointer 64-bit di level runtime.
- In-Process Isolation Berbasis MPK (Memory Protection Keys): Menempatkan heap memori Worker di balik kunci perlindungan berbasis hardware CPU x64 (menggunakan sekitar 12 hardware keys yang tersedia), dikombinasikan dengan tata letak memori berputar (rotating memory layout) untuk memastikan tidak ada sandbox berdekatan yang berbagi kunci yang sama.
Cloudflare juga menegaskan bahwa berdasarkan hasil audit internal, tidak ditemukan indikasi eksploitasi aktif di dunia nyata atas teknik ini selama tiga tahun terakhir.
Rekomendasi Keamanan bagi Pengembang Cloud & Serverless
Bagi organisasi dan pengembang yang mengandalkan infrastruktur edge computing dan fungsi serverless, beberapa langkah mitigasi esensial meliputi:
- Masa Berlaku Token Singkat (Short-Lived JWT): Gunakan token otentikasi dengan masa aktif sesingkat mungkin dan terapkan rotasi refresh token otomatis.
- Prinsip Least Privilege pada Secret: Hindari menyimpan master secret key berdurasi panjang pada memori runtime edge function.
- Evaluasi Model Isolasi untuk Data Sangat Sensitif: Untuk beban kerja yang memproses kunci enkripsi tingkat tinggi atau data finansial kritikal, pertimbangkan penggunaan komputasi dengan isolasi proses fisik/VM tersendiri (strict process isolation).
- Monitoring Anomali Sesi Jangka Panjang: Awasi koneksi WebSocket dan Durable Objects yang bertahan lama dengan lalu lintas I/O tidak wajar.
Sumber Informasi
Artikel ini disusun berdasarkan analisis publikasi riset independen serta laporan resmi dari tim keamanan Cloudflare dan The Hacker News.
🔗 Sumber asli: The Hacker News — Cloudflare Workers Spectre Attack Leaks JWT From Co-Located Worker at 12 Bits/Second