Moderne processors zijn sneller dan ooit dankzij een slimme optimalisatie die data vooraf ophaalt. Maar diezelfde functie blijkt een onverwacht veiligheidsrisico: hij kan geheime gegevens lekken. Onderzoekers ontwikkelden nu een hardwarematige oplossing genaamd SecDMP die het probleem moet dichten.
De optimalisatie heet Data Memory-Dependent Prefetching (DMP) en zit in recente generaties desktop- en server-CPU's. De technologie versnelt de gegevensverwerking, maar volgens een publicatie op arxiv.org openen prefetchers hiermee ook een zijkanaal waarlangs geheime gegevens naar buiten kunnen lekken.
🧠 Even simpel uitgelegd
Een processor probeert slim te zijn: hij haalt data die hij binnenkort waarschijnlijk nodig heeft alvast op, voordat je programma erom vraagt. Dat heet prefetching en het maakt je computer sneller. Het probleem: soms haalt de processor data op op basis van geheime informatie, zoals een wachtwoord of encryptiesleutel. Aanvallers kunnen dan via meetbare sporen in de chip (zoals timing of cachegebruik) achter die geheimen komen. Dat heet een zijkanaalaanval: je breekt niet direct in, maar leest de vingerafdrukken die het systeem achterlaat.
Zelfs beveiligde code is niet veilig
Het zorgwekkende is dat de lekken zelfs optreden bij 'constant-time code'. Dat is software die specifiek is geschreven om immuun te zijn voor Spectre-aanvallen, een bekende klasse van microarchitecturale kwetsbaarheden. Ondanks die bescherming kunnen DMP's alsnog geheimen blootleggen.
De auteurs van het onderzoek — Jens Sprengers, Marton Bognar, Lesly-Ann Daniel en Frank Piessens — stellen dat huidige verdedigingsmechanismen tekortschieten. Bestaande oplossingen veroorzaken ofwel een te grote prestatieverlies, of ze slagen er niet in om alle vormen van DMP-lekken te voorkomen.
Hoe SecDMP werkt
SecDMP is een hardwarematige verdediging die zowel veilig als efficiënt moet zijn. De kern: geheime gegevens worden in het geheugen gemarkeerd, en de prefetchers coderen die gemarkeerde geheimen vervolgens nooit in de microarchitectuur van de processor.
Een groot voordeel is dat de prestaties voor publieke gegevens niet worden aangetast. De onderzoekers claimen bovendien dat SecDMP formeel bewijst geen extra lekken te introduceren bovenop de basissemantiek van een systeem zonder DMP's. In combinatie met bestaande verdedigingen tegen speculatieve executie wordt de microarchitecturale beveiliging voor constant-time code volledig hersteld.
Getest op een RISC-V processor
Om hun theorie te testen, implementeerden de wetenschappers de eerste open-source DMP's op een RISC-V processor. Daarmee konden ze aantonen dat de enige bestaande verdediging die de prestaties van DMP's probeerde te behouden, volledig faalde tegen bepaalde klassen van lekken.
De evaluatie van SecDMP laat zien dat de methode alle gedetecteerde DMP-lekken voorkomt — met minimale hardwarekosten en zeer beperkte impact op de algehele prestaties. Het onderzoek is uitgebreid gedocumenteerd in een versie van 32 pagina's en is geaccepteerd voor de NDSS 2027 conferentie.
Context van de publicatie
De aankondiging verscheen op 27 oktober 2026 in de categorie Cryptografie en Beveiliging (cs.CR). Dergelijke updates over nieuw beveiligingsonderzoek worden vaak verspreid via gespecialiseerde kanalen, zoals de bsky.app.
Met SecDMP bieden de onderzoekers een concreet alternatief voor huidige CPU-optimalisaties die de veiligheid in gevaar brengen. De balans tussen snelheid en cryptografische zekerheid wordt zo hersteld.