[論文レビュー] oo7: Low-overhead Defense against Spectre Attacks via Program Analysis

Guanhua Wang, Sudipta Chattopadhyay+3 more|arXiv (Cornell University)|Jul 16, 2018

Security and Verification in Computing参考文献 18被引用数 38

ひとこと要約

oo7 は、汚染分析、制御フロー抽出、および予測実行モデリングを用いて、バイナリレベルの静的解析フレームワークであり、脆弱なコードパターンを検出するとともに、フェンス命令を条件付きで挿入することで攻撃を緩和する。15の標準的なSpectreリトミステストをすべて検出でき、マイクロソフトのコンパイラによる緩和策を上回り、SPECintベンチマークでは平均5.9％のパフォーマンスオーバーヘッドにとどまる。

ABSTRACT

The Spectre vulnerability in modern processors has been widely reported. The key insight in this vulnerability is that speculative execution in processors can be misused to access the secrets. Subsequently, even though the speculatively executed instructions are squashed, the secret may linger in micro-architectural states such as cache, and can potentially be accessed by an attacker via side channels. In this paper, we propose oo7, a static analysis approach that can mitigate Spectre attacks by detecting potentially vulnerable code snippets in program binaries and protecting them against the attack by patching them. Our key contribution is to balance the concerns of effectiveness, analysis time and run-time overheads. We employ control flow extraction, taint analysis, and address analysis to detect tainted conditional branches and speculative memory accesses. oo7 can detect all fifteen purpose-built Spectre-vulnerable code patterns, whereas Microsoft compiler with Spectre mitigation option can only detect two of them. We also report the results of a large-scale study on applying oo7 to over 500 program binaries (average binary size 261 KB) from different real-world projects. We protect programs against Spectre attack by selectively inserting fences only at vulnerable conditional branches to prevent speculative execution. Our approach is experimentally observed to incur around 5.9% performance overheads on SPECint benchmarks.

研究の動機と目的

• 予測実行を悪用してサイドチャnelを通じて機密情報を漏洩させる現代プロセッサにおけるSpectre脆弱性の持続的脅威に対処すること。
• OS やハードウェアの変更を必要とせず、バイナリのコンパイル後処理としてスケーラブルな解決策を提供し、脆弱なバイナリを検出・修正すること。
• 選択的フェンス挿入により、パフォーマンスオーバーヘッドを最小限に抑えながら、Spectreの亜種に対して高い検出精度を達成すること。
• 既存のコンパイラベースの緩和策が多くの既知のSpectreパターンを漏れさせるという限界を克服すること。
• ソースコードやランタイムインストルメンテーションなしに、実世界のソフトウェアバイナリへのSpectre緩和の実用的導入を可能にすること。

提案手法

• コンパイル済みマシンコードからプログラム構造を再構築するため、バイナリレベルの制御フロー抽出を実施する。
• 攻撃者制御の入力を条件分岐およびメモリアクセス経由で伝搬させるために、汚染分析を適用する。
• 汚染された分岐に続く固定された予測実行ウィンドウ内の命令を分析することで、予測実行をモデリングする。
• 微細アーキテクチャ状態に機密情報を漏洩させる可能性がある予測メモリアクセスを特定するために、アドレス分析を用いる。
• 機密コードパスの予測実行を防ぐために、脆弱な条件分岐にフェンス命令を挿入する。
• BAP（バイナリ解析プラットフォーム）を用い、誤検出を回避するための保守的仮定のもとで、ループ展開および制御フローグラフ構築を含む静的解析を実施する。

実験結果

リサーチクエスチョン

• RQ1 ソースコードへのアクセスなしに、静的バイナリ解析アプローチが、既知のすべてのSpectre脆弱コードパターンを検出可能か？
• RQ2 バイナリ解析において、予測実行を正確にモデリングし、機密情報を漏洩させる可能性のある一時的命令を同定するにはどうすればよいか？
• RQ3 フェンス命令を検出された脆弱な分岐にのみ挿入する場合、フルシステムまたはコンパイラレベルの緩和策と比較して、パフォーマンスオーバーヘッドはどの程度か？
• RQ4 oo7の検出精度は、マイクロソフトのSpectre緩和のような既存のコンパイラベースの防御と比較してどうか？
• RQ5 静的解析は、システムレベルまたはハードウェアレベルの緩和に適さないSpectre亜種をどの程度検出可能か？

主な発見

• oo7は、15の標準的なSpectreリトミステストパターンをすべて検出できたが、マイクロソフトのコンパイラベースの緩和策はそのうち2つしか検出できなかった。
• oo7のフェンス挿入による平均パフォーマンスオーバーヘッドは、SPECintベンチマークで5.9％であり、実行時のコストが低いことを示している。
• 500個の実世界プログラムバイナリ（平均サイズ261 KB）を対象とした大規模な実験では、oo7は脆弱なコードを最小限の偽陽性で特定・修正した。
• パッチ適用前にはSpectre攻撃が正常に実行されたが、oo7が生成したフェンス挿入後は攻撃に失敗したため、機能的正しさが確認された。
• システムレベルの解決策が高コストまたは互換性の問題によりうまく対応できない複数のSpectre亜種に対しても、本アプローチは有効である。
• 誤検出を最小限に抑えるために、すべてのユーザ入力を汚染ソースとして扱い、ループ展開における最悪ケースのループ上限を用いるという保守的仮定を採用している。