[論文レビュー] CacheZoom: How SGX Amplifies The Power of Cache Attacks

Daniel Moghimi, Gorka Irazoqui+1 more|arXiv (Cornell University)|Mar 20, 2017

Security and Verification in Computing参考文献 9被引用数 27

ひとこと要約

CacheZoom は、Intel SGX のハードウェア隔離に依存するという点を突いた、画期的なサイドチャnel攻撃である。この攻撃は L1 キャッシュのプライム＋プローブ攻撃を用いて、エンclaveメモリアクセスを高分解能で監視する。OS レベルの制御と頻繁なタスク切り替えを活用することで、T テーブル実装の AES キーをわずか 10 回の測定で回復可能である。これは、SGX が細分化されたキャッシュサイドチャネル攻撃に対して保護されていないことを示しており、プリフェッチなどの対策が講じられている場合でさえも同様である。

ABSTRACT

In modern computing environments, hardware resources are commonly shared, and parallel computation is widely used. Parallel tasks can cause privacy and security problems if proper isolation is not enforced. Intel proposed SGX to create a trusted execution environment within the processor. SGX relies on the hardware, and claims runtime protection even if the OS and other software components are malicious. However, SGX disregards side-channel attacks. We introduce a powerful cache side-channel attack that provides system adversaries a high resolution channel. Our attack tool named CacheZoom is able to virtually track all memory accesses of SGX enclaves with high spatial and temporal precision. As proof of concept, we demonstrate AES key recovery attacks on commonly used implementations including those that were believed to be resistant in previous scenarios. Our results show that SGX cannot protect critical data sensitive computations, and efficient AES key recovery is possible in a practical environment. In contrast to previous works which require hundreds of measurements, this is the first cache side-channel attack on a real system that can recover AES keys with a minimal number of measurements. We can successfully recover AES keys from T-Table based implementations with as few as ten measurements.

研究の動機と目的

• Intel SGX がハードウェアベースの隔離を採用しているにもかかわらず、キャッシュサイドチャネル攻撃に対して依然として脆弱であるかどうかを調査すること。
• エンclaveメモリアクセスの監視において、高い時間的・空間的分解能を達成する実用的なサイドチャネル攻撃を開発すること。
• プリフェッチや S ボックス最適化といった一般的な対策が、SGX エンclaveにおけるキャッシュベースの鍵回復に対してどの程度効果を発揮するかを評価すること。
• 以前は耐性があるとされていた最適化された AES 実装でさえ、SGX の脅威モデル下では依然として脆弱であることを示すこと。
• OS レベルでのアクセスとタスクスケジューリングが、SGX エンclaveにおけるサイドチャネル漏洩収集の精度を飛躍的に向上させられることを示すこと。

提案手法

• CacheZoom は、被害者のエンclaveを正確な間隔で中断できるように変更された OS スケジューラを使用しており、メモリアクセス監視における高分解能なタイミング制御を可能にしている。
• 攻撃者は L1 キャッシュに対してプライム＋プローブ攻撃を適用し、エンclaveが行うすべてのメモリアクセスを検出している。これは、攻撃者と被害者が同じコアにスケジューリングされる可能性があることに依存している。
• 攻撃は、OS がタスクスケジューリングを制御できることと、暗号化されていないバイナリコードにアクセスできることを活用しており、キャッシュアクセスパターンと暗号処理の間に明確な相関関係を確立している。
• キャッシュヒットとミスのタイミングと頻度を分析することで、CacheZoom は AES 暗号化ルーチン内の S ボックス参照の順序を再構築している。
• このツールは、順序を入れ替え実行（out-of-order execution）や ROB（再順序バッファ）の影響を考慮する漏洩モデルを用いており、完全にリタイアされない命令による繰り返しアクセスの観測を補正している。
• 統計的分析と AES アルゴリズムの構造に関する知識を組み合わせることで、観測されたキャッシュアクセスパターンから鍵バイトを推定している。

実験結果

リサーチクエスチョン

• RQ1 サイドチャネル攻撃は、Intel SGX エンクラーブ内でのメモリアクセス監視において、高い時間的・空間的分解能を達成できるか？
• RQ2 プリフェッチや小規模なメモリフットプリント実装といった一般的な対策が、SGX におけるキャッシュベースの鍵回復に対してどの程度効果を発揮するか？
• RQ3 実際の SGX 環境下で、100 回未満の測定で T テーブルや S ボックスベースの実装から AES キーを回復することは可能か？
• RQ4 順序を入れ替え実行や ROB の挙動は、SGX におけるキャッシュサイドチャネル漏洩モデルの信頼性と正確さにどのように影響するか？
• RQ5 OS レベルでのアクセスとタスク切り替えを活用することで、SGX エンクラーブに対するキャッシュサイドチャネル攻撃の精度を向上させることは可能か？

主な発見

• CacheZoom は、T テーブルベースの実装からわずか 10 回の測定で AES キーを正常に回復できた。これは、従来の攻撃と比較して著しく少ない回数である。
• 以前は耐性があるとされていた S ボックスベースの AES 実装に対しても、数百回の観測で十分に攻撃可能であり、完全な鍵回復が可能である。
• サイドチャネル攻撃を防ぐことを目的としたプリフェッチは、実際には攻撃者に有利に働く。なぜなら、キャッシュトレースにおいてラウンド境界がより明確に識別可能になるからである。
• エンclaveが小規模なメモリフットプリントや最適化されたアクセスパターンを使用しても、攻撃は依然として効果を発揮する。OS が攻撃者を常にスケジューリングすることで、すべてのアクセスを監視できるからである。
• 本研究では、1000 回程度の観測で 16 個の鍵バイトのうち 12 個を回復可能であることが判明した。残りのバイトはブルートフォース攻撃や最終から 2 番目のラウンドの漏洩を用いて回復可能である。
• OpenSSL、WolfCrypt、NSS、Nettle、Libtomcrypt、Libgcrypt、MbedTLS を含む、CacheZoom 攻撃に脆弱な暗号化ライブラリのリストが特定された。これらはいずれも T テーブルまたは S ボックス実装を含んでおり、CacheZoom 攻撃の対象となる。