[論文レビュー] A Systematic Evaluation of Transient Execution Attacks and Defenses

Claudio Canella, Jo Van Bulck+7 more|arXiv (Cornell University)|Nov 13, 2018

Security and Verification in Computing参考文献 44被引用数 157

ひとこと要約

この論文は Spectre-および Meltdown-type のトランジェント実行攻撃を体系化し、これまで見落とされていた六つの攻撃を明らかにし、Intel、AMD、ARM CPU に対する防御の有効性を評価する。

ABSTRACT

Research on transient execution attacks including Spectre and Meltdown showed that exception or branch misprediction events might leave secret-dependent traces in the CPU's microarchitectural state. This observation led to a proliferation of new Spectre and Meltdown attack variants and even more ad-hoc defenses (e.g., microcode and software patches). Both the industry and academia are now focusing on finding effective defenses for known issues. However, we only have limited insight on residual attack surface and the completeness of the proposed defenses. In this paper, we present a systematization of transient execution attacks. Our systematization uncovers 6 (new) transient execution attacks that have been overlooked and not been investigated so far: 2 new exploitable Meltdown effects: Meltdown-PK (Protection Key Bypass) on Intel, and Meltdown-BND (Bounds Check Bypass) on Intel and AMD; and 4 new Spectre mistraining strategies. We evaluate the attacks in our classification tree through proof-of-concept implementations on 3 major CPU vendors (Intel, AMD, ARM). Our systematization yields a more complete picture of the attack surface and allows for a more systematic evaluation of defenses. Through this systematic evaluation, we discover that most defenses, including deployed ones, cannot fully mitigate all attack variants.

研究の動機と目的

• 既知の変種を超えたトランジエント実行攻撃の全体的な攻撃表面の理解を深める。
• Spectre-およびMeltdown-type攻撃のあいまいさのない分類法と命名スキームを提供する。
• 見過ごされていたミストレーニング戦略と新しい攻撃変種を特定する。
• 現在の防御を体系的に評価し、残存する攻撃表面を示す。
• トランジェント実行攻撃の全クラスを軽減する防御設計に関する指針を提供する。

提案手法

• 根本原因と段階でトランジェント実行攻撃を分類するための意思決定木ベースの分類法を開発する。
• Intel、AMD、ARM ハードウェア上で、これまで見落とされていた六つの攻撃を概念実証で示す。
• Spectre変種のための4つのミストレーニング戦略と2つの新しいMeltdown-typeの効果を導入・検証する。
• さまざまな防御の実験的評価を行い、どの緩和策が有効か、あるいは不十分かを検討する。
• Spectre-typeとMeltdown-typeの攻撃機構を比較し、防御のハードウェア/ソフトウェア共同設計を導く。

実験結果

リサーチクエスチョン

• RQ1 これまで知られていた変種を超えるトランジェント実行攻撃の全体像は何ですか。
• RQ2 複数のCPUベンダーにわたり、新しいミストレーニング戦略とMeltdown-type効果を実証できますか。
• RQ3 展開済みおよび提案された防御は、拡張されたトランジェント実行攻撃のセットに対してどれほど効果的ですか。
• RQ4 個別の変種ではなく、トランジェント実行攻撃の全クラスを緩和する設計原則は何ですか。

主な発見

• 六つのこれまで見落とされていたトランジエント実行攻撃を特定し、そのうち二つはMeltdown-typeの効果（Meltdown-PKとMeltdown-BND）で、四つはSpectreミストレーニング戦略を含む。
• 概念実証実験によりIntel、AMD、ARM CPUで攻撃が確認され、既知の攻撃表面を拡大する。
• 配布済みパッチを含むほとんどの防御は、すべての攻撃変種を完全には緩和できない。
• Spectre-typeの攻撃はハードウェアとソフトウェアの共同設計を必要とする一方、Meltdown-typeの防御はシリコン上での故障結果の前方伝播を防ぐか、特定の緩和策を用いることで対処できる。
• 本研究はミストレーニング戦略の盲点を明らかにし、緩和策が施されていてもさまざまな変種が悪用され得ることを示す。
• 分類法は根本原因と攻撃経路を明確化し、より包括的な防御の設計を支援する。