[論文レビュー] Hide and Seek with Spectres: Efficient discovery of speculative information leaks with random testing

Oleksii Oleksenko, Marco Guarnieri+2 more|arXiv (Cornell University)|Jan 18, 2023

Security and Verification in Computing被引用数 6

ひとこと要約

本論文では、推論と観察フィルタリング、および契約駆動型入力生成を用いて無効なテストケースを除外することで、x86 CPUにおける推論的漏洩のブラックボックス検出を高速化するモデルベースでランダムなテスト手法を提案する。この手法は、最先端のツールと比較して最大100倍の高速化を達成し、IntelおよびAMDのCPUに以前未知の推論的漏洩2件を発見する大規模なテストキャンペーンを可能にした。

ABSTRACT

Attacks like Spectre abuse speculative execution, one of the key performance optimizations of modern CPUs. Recently, several testing tools have emerged to automatically detect speculative leaks in commercial (black-box) CPUs. However, the testing process is still slow, which has hindered in-depth testing campaigns, and so far prevented the discovery of new classes of leakage. In this paper, we identify the root causes of the performance limitations in existing approaches, and propose techniques to overcome these limitations. With these techniques, we improve the testing speed over the state-of-the-art by up to two orders of magnitude. These improvements enable us to run a testing campaign of unprecedented depth on Intel and AMD CPUs. As a highlight, we discover two types of previously unknown speculative leaks (affecting string comparison and division) that have escaped previous manual and automatic analyses.

研究の動機と目的

• 推論的漏洩のためのモデルベース関係テストにおける性能ボトルネックを解消し、テストキャンペーンの深さと広がりを向上させること。
• 推論または観察の可視性が低いと予想される段階で、無効なテストケースをパイプラインの初期段階で特定・除外すること。
• 大幅に向上したテストカバレッジと効率を活用し、以前未知の推論的漏洩クラスの発見を可能にすること。
• 非効率なテストケースに対して高コストな記号実行を回避する、軽量でハードウェアに適応したフィルタリング技術の開発。
• 最小限のハードウェア信号と決定論的入力生成を用いて、商用CPU上で高速かつ深層的なテストが可能であることを実証すること。

提案手法

• 推論フィルタリングは、CPUのパフォーマンスカウンタを用いてテスト実行中に発生する誤推論を検出し、一時的命令実行を伴わないテストケースを破棄する。
• 観察フィルタリングは、各命令の後にシリアル化フェンスを挿入し、元のバージョンとシリアル化されたバージョンのハードウェアトレースを比較することで、推論効果が観察可能かどうかを特定する。
• 契約駆動型入力生成は、依存関係の追跡を用いて、同じモデルトレースを生成する入力ペアを特定し、モデルトレースとハードウェアトレースの有効な比較を保証する。
• これらのフィルタをモデルベーステストフレームワークに統合し、高価な記号実行やサイドチャnel測定を必要とするテストケースの数を顕著に削減する。
• テストケースはランダムに生成されるが、誤推論、観察可能な漏洩、および同一のモデルトレースという3つの条件を満たさない場合は、初期段階で除外される。
• 本手法はRevizoフレームワーク上に実装されており、x86 CPUをターゲットとして、大規模かつ高速なテストキャンペーンを可能にしている。

実験結果

リサーチクエスチョン

• RQ1 推論および観察フィルタリング技術は、推論的漏洩のためのモデルベース関係テストにおいて、無効なテストケースの数を顕著に削減できるか？
• RQ2 記号実行を代替する契約駆動型入力生成は、同じモデルトレースを生成する入力ペアを生成するにあたり、速度と正確性を維持できるか？
• RQ3 テストスループットが100倍向上することで、従来の手動または自動分析では検出されなかった新たな推論的漏洩クラスの発見が可能になるか？
• RQ4 推論的漏洩を露呈させる可能性の高いテストケースの主な特徴は何か、そしてそれらを体系的に生成または同定する方法は何か？
• RQ5 完全なマイクロアーキテクチャアクセスを必要とせずに、最小限のハードウェア信号（例：パフォーマンスカウンタ）を用いて、自動テストの除外を効果的にガイドできる範囲はどの程度か？

主な発見

• 提案手法は、最先端の手法と比較して最大100倍のテストパフォーマンス向上を達成し、かつて不可能とされた大規模なテストキャンペーンを可能にした。
• ランダムに生成されたテストケース-入力の組み合わせのうち、推論的漏洩を検出可能なのはわずか0.5％にとどまり、これは誤推論率（13％）、観察可能な漏洩率（7％）、同一のモデルトレース率（6％）が低いためである。
• 推論および観察フィルタリングの活用により、非効率な候補を早期に除外することで、完全な漏洩分析を要するテストケースの数が削減された。
• 契約駆動型入力生成により、記号実行のコストを回避しながら、効率的かつ決定論的に同一のモデルトレースを持つ入力ペアを生成できるようになった。
• 本手法により、IntelおよびAMDのCPUにおいて以前未知であった2つの新しい推論的漏洩クラスが発見された。これらは文字列比較および除算演算に関連するものである。
• テストキャンペーンでは、IntelおよびAMDのCPUを対象に合計1億3000万回のテスト実行が実施され、推論的漏洩の深層的で自動化されたブラックボックス分析の実現可能性が示された。