[論文レビュー] RELOAD+REFRESH: Abusing Cache Replacement Policies to Perform Stealthy Cache Attacks

Samira Briongos, Pedro Malagón+2 more|arXiv (Cornell University)|Apr 12, 2019

Security and Verification in Computing参考文献 28被引用数 26

ひとこと要約

本論文では、Intel CPU（4世代〜8世代）における決定論的なキャッシュ置換ポリシーを悪用して、被害者プロセスのメモリアクセスをキャッシュミスを引き起こさずに監視できる、巧妙なキャッシュ攻撃であるRELOAD+REFRESHを紹介する。正確なキャッシュセットの置換を予測・制御することで、検出を避けつつ、PRIME+PROBEなどの最先端の手法と同等の精度を維持する。

ABSTRACT

Caches have become the prime method for unintended information extraction across logical isolation boundaries. Even Spectre and Meltdown rely on the cache side channel, as it provides great resolution and is widely available on all major CPU platforms. As a consequence, several methods to stop cache attacks by detecting them have been proposed. Detection is strongly aided by the fact that observing cache activity of co-resident processes is not possible without altering the cache state and thereby forcing evictions on the observed processes. In this work, we show that this widely held assumption is incorrect. Through clever usage of the cache replacement policy it is possible to track a victims process cache accesses without forcing evictions on the victim's data. Hence, online detection mechanisms that rely on these evictions can be circumvented as they do not detect be the introduced RELOAD+REFRESH attack. The attack requires a profound understanding of the cache replacement policy. We present a methodology to recover the replacement policy and apply it to the last five generations of Intel processors. We further show empirically that the performance of RELOAD+REFRESH on cryptographic implementations is comparable to that of other widely used cache attacks, while its detectability becomes extremely difficult, due to the negligible effect on the victims cache access pattern.

研究の動機と目的

• キャッシュベースの側帯攻撃が、被害者に検出可能なキャッシュミスを引き起こさずに実行可能かどうかを調査すること。
• 4世代から8世代までの現代のIntelプロセッサの最後段キャッシュ（LLC）の置換ポリシーを逆スペックすること。
• 複雑な実世界のCPUアーキテクチャにおけるキャッシュ置換動作を分析・予測するための手法を開発すること。
• 高時間分解能で被害者のメモリアクセスパターンを密かに監視できる新しいキャッシュ攻撃、RELOAD+REFRESHを設計・実装すること。
• 現在の検出メカニズムが観察可能なキャッシュミスに依存していることに対して、この新しい攻撃ベクトルに対して無効であることを示すこと。

提案手法

• キャッシュミスを強制し、実際の置換を観察することで、置換ポリシーをテスト・検証するための新規な逆スペック手法を開発した。
• ハードウェアパフォーマンスカウンタ（HPCs）を用いてキャッシュミスパターンをモニタリングし、予測された置換候補と相関をとった。
• IntelのLLCが、アクセス履歴と擬似ランダム選択メカニズムの組み合わせに基づく決定論的置換ポリシーを採用していることを特定した。
• 正確なタイミング制御とキャッシュセット制御を用いて、競合アドレスを再ロードし、被害者のデータをキャッシュに再挿入するRELOAD+REFRESH攻撃を設計した。この際、データを置換しない。
• AESおよびRSA暗号実装に対して攻撃を実行し、キャッシュアクセスパターンの観察によって秘密鍵を抽出した。
• サンプリングレートとミス数を評価し、PRIME+PROBEおよびFLUSH+RELOADと攻撃性能を測定・比較した。

実験結果

リサーチクエスチョン

• RQ1 現代のIntel CPUにおけるキャッシュ置換ポリシーを、高い正確さで予測可能なように逆スペック可能か？
• RQ2 キャッシュミスを引き起こさずに、被害者のキャッシュアクセスを監視することが可能か。これにより、検出メカニズムを回避できるか？
• RQ3 RELOAD+REFRESHの性能は、PRIME+PROBEやFLUSH+RELOADといった既存のキャッシュ攻撃と比較して、分解能およびステルス性の観点でどうか？
• RQ4 RELOAD+REFRESHが被害者のキャッシュミストレス率および実行挙動に与える実際の影響は何か？
• RQ5 RELOAD+REFRESHは、AESやRSAのような実際の暗号実装から秘密情報を抽出可能か？

主な発見

• RELOAD+REFRESH攻撃は、1000サンプルあたり平均145.6回のL3キャッシュミスを被害者に引き起こすのみで、FLUSH+RELOADやPRIME+PROBEの1,000回以上に比べ、ほぼ検出不能である。
• 最大サンプリングレートでRSA復号における乗算演算の復元に93％の正確性を達成し、PRIME+PROBEと同等の性能を示した。
• RELOAD+REFRESHの平均サンプリング間隔は810サイクルであり、PRIME+PROBEの280〜1950サイクルの範囲に比べて顕著に高いが、依然として高分解能のタイミングに十分対応可能である。
• 攻撃はTテーブルAES実装およびスイーパンドマルティプライRSAバージョンから鍵を正常に抽出し、実用的妥当性を示した。
• 本研究では、キャッシュミスの観察に依存する現在の検出メカニズムが、このようなミスを誘発しない攻撃に対して無効であることが明らかになった。
• 著者らはIntelの4世代〜8世代CPUで使用される決定論的置換ポリシーを逆スペックし、アクセス履歴と擬似ランダム機構に基づいていることを示した。