[論文レビュー] CAn't Touch This: Practical and Generic Software-only Defenses Against Rowhammer Attacks

Franz Ferdinand Brasser, Lucas Davi+3 more|arXiv (Cornell University)|Nov 25, 2016

Security and Verification in Computing参考文献 14被引用数 16

ひとこと要約

本稿では、物理メモリページを障害のあるものとしてブラックリスト化することで脆弱なDRAMにおけるビットフィップを防ぐB-CATT、およびメモリドメインを隔離することで同様の効果を達成するG-CATTの2つのソフトウェアオンリーな防御手法を提示する。両手法とも、最小限のパフォーマンスオーバーヘッドと偽陽性なしに、既知のすべてのrowhammer攻撃を遮断でき、レガシーライセンスx86およびARMシステムの即時保護を可能にする。

ABSTRACT

Rowhammer is a hardware bug that can be exploited to implement privilege escalation and remote code execution attacks. Previous proposals on rowhammer mitigation either require hardware changes or follow heuristic-based approaches (based on CPU performance counters). To date, there exists no instant protection against rowhammer attacks on legacy systems. In this paper, we present the design and implementation of two practical and efficient software-only defenses against rowhammer attacks. Our defenses prevent the attacker from leveraging rowhammer to corrupt physically co-located data in memory that is owned by a different system entity. Our first defense, B-CATT, extends the system bootloader to disable vulnerable physical memory. B-CATT is highly practical, does not require changes to the operating system, and can be deployed on virtually all x86-based systems. While B-CATT is able to stop all known rowhammer attacks, it does not yet tackle the fundamental problem of missing memory isolation in physical memory. To address this problem, we introduce our second defense G-CATT, a generic solution that extends the physical memory allocator of the OS to physically isolate the memory of different system entities (e.g., kernel and user space). As proof of concept, we implemented B-CATT on x86, and our generic defense, G-CATT, on x86 and ARM to mitigate rowhammer-based kernel exploits. Our extensive evaluation shows that both mitigation schemes (i) can stop available real- world rowhammer attacks, (ii) impose virtually no run-time overhead for common user and kernel benchmarks as well as commonly used applications, and (iii) do not affect the stability of the overall system.

研究の動機と目的

• レガシーシステム向けに実用的でソフトウェアオンリーなrowhammer防御が不足している問題に対処すること。
• 従来のヒューリスティックベースのアプローチで見られる偽陽性と高いランタイムオーバーヘッドを排除すること。
• OSやハードウェアの変更なしに、すべての既知のrowhammer攻撃を遮断できる決定論的かつ展開可能なソリューションを提供すること。
• OSレベルのメモリ割り当て拡張を用いて、システムエントリ（例：カーネルとユーザースペース）間のメモリ隔離を可能にすること。
• パフォーマンスカウンターやECCメモリが存在しないシステムでも、ソフトウェアのみでrowhammer緩和が可能であることを示すこと。

提案手法

• B-CATTはシステムブートローダーを拡張し、物理メモリをブート時においてスキャンし、脆弱なメモリページをブラックリスト化することで、それらの使用を禁止する。
• G-CATTはOSの物理メモリアロケータを変更し、メモリページを隔離されたセキュリティドメインに割り当てることで、rowhammerに起因するビットフィップを攻撃者制御のメモリ領域内に限定する。
• 両防御はx86およびARMプラットフォームに実装されており、B-CATTはレガシーシステムを対象とし、G-CATTは汎用的かつ拡張可能なソリューションを提供する。
• B-CATTは特別なCPU機能を必要とせず、メモリスキャンとページブラックリスト化を用いるため、広範な互換性を確保する。
• G-CATTは、ビットフィップが同じセキュリティドメイン内のメモリにのみ影響を及ぼすことを保証し、信頼できるメモリページへの攻撃を不可能にする。
• 両防御は、標準ベンチマークおよび実世界のrowhammer攻撃を用いて評価されており、通常のワークロード下でのパフォーマンスが測定されている。

実験結果

リサーチクエスチョン

• RQ1 ハードウェア変更なしに、ソフトウェアオンリーな防御がすべての既知のrowhammer攻撃を防げるか？
• RQ2 ほぼゼロのランタイムオーバーヘッドを達成しつつ、rowhammerビットフィップに対する保護を保証することは可能か？
• RQ3 OSレベルでメモリ隔離を実装することで、rowhammerに起因するビットフィップを攻撃者制御のメモリ領域内に限定できるか？
• RQ4 ブートローダーに基づくメモリブラックリスト化アプローチは、レガシーシステム向けに実用的かつスケーラブルな解決策を提供できるか？
• RQ5 汎用的でOSレベルのメモリアロケータ拡張は、パフォーマンスカウンターやヒューリスティクスに依存せず、rowhammerを効果的に緩和できるか？

主な発見

• B-CATTは、ブート時に脆弱な物理メモリページをブラックリスト化することで、すべての既知のrowhammer攻撃を効果的に防止し、システム安定性に影響を与えない。
• B-CATTの最悪ケースのランタイムオーバーヘッドはたったの0.29%であり、従来のヒューリスティックベースの防御（例：ANVIL）の8%に比べて顕著に低い。
• G-CATTは、rowhammerに起因するビットフィップを攻撃者のメモリドメイン内に効果的に封じ込め、共存する信頼できるメモリページへの攻撃を防いでいる。
• 両防御はx86およびARMアーキテクチャで完全に動作し、クロスアーキテクチャ互換性を示している。
• 評価結果から、両防御は偽陽性を引き起こさず、ANVILのようなヒューリスティックベースのアプローチとは異なり、信頼性が高いことが確認された。
• 提案された防御は、OSやハードウェアの変更なしに、ほぼすべてのx86ベースのシステムに展開可能であり、即時的にレガシーシステムを保護できる。