[論文レビュー] oo7: Low-overhead Defense against Spectre Attacks

Guanhua Wang, Sudipta Chattopadhyay+3 more|arXiv (Cornell University)|Jul 16, 2018

Security and Verification in Computing参考文献 5被引用数 2

ひとこと要約

oo7 は、制御フロー抽出、トランスファーデータ分析、アドレス分析を用いてプログラムバイナリ内の Spectre 攻撃に脆弱なコードパターンを検出する静的解析フレームワークであり、脆弱な条件分岐でのみ予測実行フェンスを挿入することで攻撃を緩和する。15 つの既知の Spectre パatters を 100% 検出可能であり、SPECint ベンチマークで平均 5.9% のパフォーマンスオーバーヘッドにとどまる。

ABSTRACT

The Spectre vulnerability in modern processors has been widely reported. The key insight in this vulnerability is that speculative execution in processors can be misused to access the secrets. Subsequently, even though the speculatively executed instructions are squashed, the secret may linger in micro-architectural states such as cache, and can potentially be accessed by an attacker via side channels. In this paper, we propose oo7, a static analysis approach that can mitigate Spectre attacks by detecting potentially vulnerable code snippets in program binaries and protecting them against the attack by patching them. Our key contribution is to balance the concerns of effectiveness, analysis time and run-time overheads. We employ control flow extraction, taint analysis, and address analysis to detect tainted conditional branches and speculative memory accesses. oo7 can detect all fifteen purpose-built Spectre-vulnerable code patterns, whereas Microsoft compiler with Spectre mitigation option can only detect two of them. We also report the results of a large-scale study on applying oo7 to over 500 program binaries (average binary size 261 KB) from different real-world projects. We protect programs against Spectre attack by selectively inserting fences only at vulnerable conditional branches to prevent speculative execution. Our approach is experimentally observed to incur around 5.9% performance overheads on SPECint benchmarks.

研究の動機と目的

• 予測実行を悪用して側面チャネルを通じて機密情報を漏洩させる Spectre 漏洩の深刻なセキュリティ脅威に対処すること。
• Microsoft のコンパイラなど、既存のコンパイラベースの緩和策の限界を克服すること。これらの手法は、既知の大多数の Spectre パatters を検出できない。
• 検出効果、解析時間、ランタイムパフォーマンスのバランスを取った、スケーラブルで低オーバーヘッドの防御を構築すること。
• ソースコードのアクセスが不要な実世界のバイナリへの実用的展開を可能にすること。

提案手法

• バイナリコードから制御フローを抽出し、プログラム構造を再構築し、条件分岐を同定する。
• データフローを伝搬させ、予測実行パスに影響を与える可能性のある入力を検出するため、トランスファーデータ分析を適用する。
• 機密データの漏洩を引き起こす可能性のある予測実行メモリアクセスを同定するため、アドレス分析を実施する。
• 汚染された条件分岐と予測実行メモリアクセスの相関をもとに、15 つの既知の Spectre 攻撃に脆弱なコードパターンをすべて検出する。
• 脆弱な条件分岐でのみハードウェアメモリバリア（フェンス）を挿入し、予測実行を防止する。
• フェンス挿入を必須のポイントに限定することで最適化し、パフォーマンスへの影響を最小限に抑える。

実験結果

リサーチクエスチョン

• RQ1 ソースコードが入手できない状態で、コンパイル済みバイナリにおいて、既知のすべての Spectre 攻撃に脆弱なコードパターンを静的解析によって検出可能か？
• RQ2 oo7 は、既存のコンパイラベースの緩和手法と比較して、Spectre パatters の検出においてどの程度有効か？
• RQ3 さまざまなワークロードにおいて、実世界のバイナリに適用した場合、oo7 のパフォーマンスオーバーヘッドはどの程度か？
• RQ4 oo7 は、高い検出精度を維持しながら、低ランタイムオーバーヘッドと高速な解析時間を達成できるか？
• RQ5 oo7 は、多数の実世界バイナリに対してスケーラブルに適用可能か？

主な発見

• oo7 は、15 の目的に特化した Spectre 攻撃に脆弱なコードパターンをすべて検出でき、Microsoft のコンパイラが検出できるのはわずか 2 つにとどまるのに対し、優れた性能を示した。
• 大規模な研究において、oo7 は平均サイズ 261 KB の 500 個を超える実世界のプログラムバイナリに適用され、実用的なスケーラビリティが実証された。
• SPECint ベンチマークにおいて、oo7 は平均 5.9% のパフォーマンスオーバーヘッドを発生させ、単純な緩和戦略よりも顕著に低い。
• 防御が有効であるのは、フェンスを脆弱な条件分岐でのみ挿入しているため、パフォーマンスへの影響が最小限に抑えられているからである。
• 制御フロー抽出、トランスファーデータ分析、アドレス分析の組み合わせにより、予測実行のリスクを正確に同定できる。
• 結果から、Spectre 攻撃に対するソースコードベースの緩和の代替手段として、バイナリの静的解析が実用的で効率的であることが確認された。