saadislamm/spoiler投機的ロードハザードがRowhammer攻撃およびキャッシュ攻撃を強化 - CVE-2019-0162 -
https://www.usenix.org/system/files/sec19-islam.pdf
@inproceedings {236252,
author = {Saad Islam and Ahmad Moghimi and Ida Bruhns and Moritz Krebbel and Berk Gulmezoglu and Thomas Eisenbarth and Berk Sunar},
title = {{SPOILER}: Speculative Load Hazards Boost Rowhammer and Cache Attacks},
booktitle = {28th {USENIX} Security Symposium ({USENIX} Security 19)},
year = {2019},
isbn = {978-1-939133-06-9},
address = {Santa Clara, CA},
pages = {621--637},
url = {https://www.usenix.org/conference/usenixsecurity19/presentation/islam},
publisher = {{USENIX} Association},
month = aug,
}
Saad Islam and Ahmad Moghimi, Worcester Polytechnic Institute; Ida Bruhns and Moritz Krebbel, University of Luebeck; Berk Gulmezoglu, Worcester Polytechnic Institute; Thomas Eisenbarth, Worcester Polytechnic Institute and University of Luebeck; Berk Sunar, Worcester Polytechnic Institute
現代のマイクロアーキテクチャは、投機的ロードやストアフォワーディングといった最適化手法を採用してメモリボトルネックを改善している。プロセッサはストアの前にロードを投機的に実行し、先行するストアに依存関係があればそのデータをロードに転送する。これにより、ロードが先行するストアの完了を待つ必要がなくなりパフォーマンスが向上する。しかし、依存関係の予測は部分的なアドレス情報に依存しているため、誤った依存関係やストールハザードを引き起こす可能性がある。
本研究では、投機的ロードにサービスを提供する依存解決論理を悪用して物理ページマッピングに関する情報を取得できることを初めて示す。Rowhammerなどのマイクロアーキテクチャサイドチャネル攻撃や、Prime+Probeなどのキャッシュ攻撃は、仮想アドレスから物理アドレスへのマッピングのリバースエンジニアリングに依存している。我々はSPOILER攻撃を提案し、この漏洩を利用してリバースエンジニアリングを256倍高速化する。さらに、サンドボックス環境（JavaScriptなど）からでも、エビクションセットの検索を4096倍高速化することでPrime+Probe攻撃を改善できることを示す。最後に、SPOILERがDRAMの行競合を最大100%の確率で確定的に実行する方法を示し、通常ユーザー権限でも両面Rowhammer攻撃を実証することで、Rowhammer攻撃を改善する。後者は、SPOILERの漏洩を用いて連続メモリページを検出できる可能性に起因する。
$ make
$ ./spoiler
gnuplotがまだインストールされていない場合はインストールするか、別のソフトウェアでt2.txtをプロットしてください。plot_t2.m MATLABスクリプトも提供されています。
$ gnuplot
gnuplot> plot 't2.txt' with lines
peaks_linux.pngのようなピークが表示されれば、あなたのCPUはSPOILERに対して脆弱です。表示されない場合は、"PAGE_COUNT, WINDOW and THRESH_OUTLIER"のパラメータを調整してみてください。例えば、第11世代CPUではWINDOWサイズを256に変更すると動作しました。その理由は、新しい世代のCPUではストアバッファサイズが増加しているためと考えられます。詳細は論文をご参照ください。
"spoiler.exe"をダブルクリックまたはコマンドプロンプトで実行してください。パラメータを変更する必要がある場合は、コードを再コンパイルしてください。"t2.txt"を任意のソフトウェアまたはplot_t2.m MATLABスクリプトを用いてプロットしてください。