[論文レビュー] Security Through Amnesia: A Software-Based Solution to the Cold Boot Attack on Disk Encryption

Patrick Simmons|arXiv (Cornell University)|Apr 26, 2011

Cryptographic Implementations and Security参考文献 9被引用数 7

ひとこと要約

この論文では、暗号化鍵をメインメモリではなくCPUレジスタにのみ格納することで、コールドブート攻撃に対する脆弱性を排除するソフトウェアベースのディスク暗号化システム、Loop-Amnesiaを提示する。CPUレジスタに依存した鍵格納と、RAMへの漏洩を回避する修正されたAES実装を活用することで、わずか2倍のパフォーマンス低下でコールドブート攻撃に対して完全に耐性を持つことが実証され、一般用途のシステムにおける最初の実用的でオープンソースの解決策が提供される。

ABSTRACT

Disk encryption has become an important security measure for a multitude of clients, including governments, corporations, activists, security-conscious professionals, and privacy-conscious individuals. Unfortunately, recent research has discovered an effective side channel attack against any disk mounted by a running machine\cite{princetonattack}. This attack, known as the cold boot attack, is effective against any mounted volume using state-of-the-art disk encryption, is relatively simple to perform for an attacker with even rudimentary technical knowledge and training, and is applicable to exactly the scenario against which disk encryption is primarily supposed to defend: an adversary with physical access. To our knowledge, no effective software-based countermeasure to this attack supporting multiple encryption keys has yet been articulated in the literature. Moreover, since no proposed solution has been implemented in publicly available software, all general-purpose machines using disk encryption remain vulnerable. We present Loop-Amnesia, a kernel-based disk encryption mechanism implementing a novel technique to eliminate vulnerability to the cold boot attack. We offer theoretical justification of Loop-Amnesia's invulnerability to the attack, verify that our implementation is not vulnerable in practice, and present measurements showing our impact on I/O accesses to the encrypted disk is limited to a slowdown of approximately 2x. Loop-Amnesia is written for x86-64, but our technique is applicable to other register-based architectures. We base our work on loop-AES, a state-of-the-art open source disk encryption package for Linux.

研究の動機と目的

• 電源断後にRAMに残存する暗号化鍵が原因で生じるディスク暗号化システムの深刻な脆弱性を是正すること。
• 特別なハードウェアを必要とせず、RAMへの鍵回収を防ぐソフトウェアベースの対策を設計・実装すること。
• 攻撃者が物理的アクセスをもってしても安全であるように、複数の暗号化鍵をサポートすること。
• 実世界のワークロード下での測定可能なパフォーマンス影響を伴いながら、実用的で効率的なアプローチを示すこと。
• LinuxのようなメインストリームOSに統合可能なプロトタイプ実装を提供すること。

提案手法

• コールドブート攻撃の影響を受けないCPUレジスタに、マスターキーを完全に格納すること。
• 中間値やラウンドキーを含め、RAMに鍵関連データを一切格納しないように変更されたAES暗号化ルーチンの設計。
• ループAESの上に構築されたカーネルモジュールを用いて、レジスタベースの鍵管理を生産環境向けディスク暗号化システムに統合すること。
• 複数の暗号化鍵を安全に管理・アクセス可能にするために、メモリに露出しない鍵マスキング技術の実装。
• コンパイラが実行中に機密鍵値をRAMにスプールしないように、コンパイラレベルでの制御を実施すること。
• 正しさのテストとコールドブート攻撃に対する耐性の形式的妥当性の両面から実装を検証すること。

実験結果

リサーチクエスチョン

• RQ1 コールドブート攻撃を防ぐために、暗号化鍵をRAMではなくCPUレジスタに安全に格納できるか？
• RQ2 パフォーマンスに著しい影響を与えることなく、完全なディスク暗号化システムをレジスタベースの鍵格納のみで実装できるか？
• RQ3 ソフトウェアオンリーソリューションによって、電源断後のRAMダンプから鍵の回収を効果的に防げるか？
• RQ4 従来のRAMベースのディスク暗号化と比較して、そのシステムのパフォーマンスオーバーヘッドはどの程度か？
• RQ5 Forenscopeのようなライブフォレンジックツールを用いた攻撃の亜種に対しても、このアプローチは有効に拡張可能か？

主な発見

• Loop-Amnesiaは、メインメモリにいかなる暗号化鍵のデータも格納しないことで、コールドブート攻撃を効果的に防止する。
• 標準的なディスク暗号化システムと比較して、I/O操作におけるパフォーマンス低下が約2倍にとどまる。
• 形式的根拠に基づき、システムはコールドブート攻撃に対して完全に免疫であると正当化され、運用中いかなる時もRAM内に鍵データが存在しない。
• 既存のx86-64アーキテクチャと互換性があり、他のレジスタベースのシステムへも拡張可能である。
• 直接的なコールドブート攻撃だけでなく、RAMの持続性を利用する攻撃の亜種に対しても有効である。
• 現在のプログラミング言語には、開発者が機密値がレジスタに留まるように強制する仕組みが欠如していることが明らかになった。