[論文レビュー] Lord of the Ring(s): Side Channel Attacks on the CPU On-Chip Ring Interconnect Are Practical

Riccardo Paccagnella, Licheng Luo+1 more|arXiv (Cornell University)|Mar 5, 2021

Security and Verification in Computing参考文献 89被引用数 25

ひとこと要約

この論文は、CPU ring interconnectを用いたオンチップのコア間サイドチャネルを実現し、最大4.14 Mbpsの covert channel を構築し、暗号鍵とキーストロークのタイミングを漏洩する。

ABSTRACT

We introduce the first microarchitectural side channel attacks that leverage contention on the CPU ring interconnect. There are two challenges that make it uniquely difficult to exploit this channel. First, little is known about the ring interconnect's functioning and architecture. Second, information that can be learned by an attacker through ring contention is noisy by nature and has coarse spatial granularity. To address the first challenge, we perform a thorough reverse engineering of the sophisticated protocols that handle communication on the ring interconnect. With this knowledge, we build a cross-core covert channel over the ring interconnect with a capacity of over 4 Mbps from a single thread, the largest to date for a cross-core channel not relying on shared memory. To address the second challenge, we leverage the fine-grained temporal patterns of ring contention to infer a victim program's secrets. We demonstrate our attack by extracting key bits from vulnerable EdDSA and RSA implementations, as well as inferring the precise timing of keystrokes typed by a victim user.

研究の動機と目的

• 以前に十分研究されていなかったオンチップ通信チャネル（リングインターコネクト）を動機づけ、それを悪用して covert channel およびサイドチャネルを実現する。
• Intelのリング・プロトコルを逆アセンブル/逆解析して、リング・インターコネクト上のリソースと競合挙動を理解する。
• 被害者から暗号鍵ビットとキーストロークのタイミングを抽出する実用的な攻撃を示す。
• リングベースの漏洩に対する対策を提示し、緩和策を議論する。

提案手法

• Intelのリング・インターコネクト・プロトコルを徹底的にリバースエンジニアリングして、リング資源と仲裁挙動をマッピングする。
• 1つのスレッドでリング・インターコネクト上にコア間コーバートチャネルを構築し、最大4.14 Mbps (518 KBps) を達成する。
• Coffee LakeおよびSkylakeのCPUを対象に、実測を通じてリングのトポロジー、レーン、競合条件を特徴づける。
• RSAおよびEdDSA実装から鍵ビットを抽出し、キーストロークのタイミングを推定する、リング競合ベースのサイドチャネル攻撃を設計・実行する。
• タイミングトレースと機械学習を用いて、リング競合信号からノイズを除去し秘密を回復する。

実験結果

リサーチクエスチョン

• RQ1 プロセス間のCPUリング・インターコネクトにおける競合の必要条件と十分条件は何か？
• RQ2 共有メモリなしで、リング競合を利用してコア間コーバートチャネルを作成できるか？
• RQ3 リング競合漏洩を悪用してRSAおよびEdDSA実装から暗号鍵を回収できるか？
• RQ4 リング競合パターンからキーストロークのタイミング情報を推定できるか？
• RQ5 リングベースのサイドチャネルを効果的に低減または防止する緩和策は何か？

主な発見

• リング・インターコネクトのトポロジは、異なるパケットタイプを処理する4つのサブリングを備えた2つの独立したレーンから構成される。
• 共有メモリなしで、単一スレッドによる最大4.14 Mbps (518 KBps) のコア間 covert channel を実証。
• リング競合信号は犠牲者の負荷と相関し、敵対的なスケジューリング下で秘密情報を推定するのに使用できる。
• 競合は、送信者と受信者のトラフィックが重複するリングセグメントを同じ方向に走行し、優先ルールが適用される特定の条件下で発生する。
• キーストロークのタイミングはリング競合のスパイクから推定でき、タイミングベースの漏洩を可能にする。
• 著者は、競合条件と観察されたリング挙動の体系的な形式化を提供し、攻撃が成功する時を説明する。