[論文レビュー] Side-Channel Attacks on RISC-V Processors: Current Progress, Challenges, and Opportunities

Mahya Morid Ahmadi, Faiq Khalid+1 more|arXiv (Cornell University)|Jun 16, 2021

Security and Verification in Computing参考文献 29被引用数 7

ひとこと要約

この論文は、RISC-Vマイクロプロセッサにおけるサイドチャネル脆弱性を調査し、キャッシュベースのタイミング攻撃（例：PRIME+PROBE）が、FPGAおよび商用RISC-Vプラットフォームの両方でRSA暗号化における秘密鍵を効果的に抽出できることを示している。研究では、RISC-Vがソフトウェアによって利用可能なハードウェアサイドチャネル攻撃の対象となり得ることを明らかにし、将来のRISC-Vベースシステムを保護するため、アーキテクチャレベルでの軽量で汎用的な防御メカニズムの緊急の必要性を強調している。

ABSTRACT

Side-channel attacks on microprocessors, like the RISC-V, exhibit security vulnerabilities that lead to several design challenges. Hence, it is imperative to study and analyze these security vulnerabilities comprehensively. In this paper, we present a brief yet comprehensive study of the security vulnerabilities in modern microprocessors with respect to side-channel attacks and their respective mitigation techniques. The focus of this paper is to analyze the hardware-exploitable side-channel attack using power consumption and software-exploitable side-channel attacks to manipulate cache. Towards this, we perform an in-depth analysis of the applicability and practical implications of cache attacks on RISC-V microprocessors and their associated challenges. Finally, based on the comparative study and our analysis, we highlight some key research directions to develop robust RISC-V microprocessors that are resilient to side-channel attacks.

研究の動機と目的

• サイドチャネル攻撃、特にキャッシュベースのタイミング攻撃および電力サイドチャネル攻撃がRISC-Vマイクロプロセッサに適用可能かどうかを分析すること。
• 共有リソースの悪用がもたらされる状況下での、RISC-Vの高パフォーマンスおよび埋め込み用途におけるセキュリティ脆弱性を評価すること。
• ソフトウェアからハードウェアへのサイドチャネル攻撃を可能にするRISC-Vのアーキテクチャ的弱み（例：クロスコアのタイミング漏洩）を同定すること。
• RISC-Vのオープンソースかつ拡張可能なISAの特性を踏まえ、サイドチャネル攻撃に対して耐性のある、強固で汎用的な防御メカニズムの基盤を提案すること。
• クロスレイヤーのサイドチャネル保護を実現するにあたり、将来のセキュア・バイ・デザインのRISC-Vプロセッサ開発を導くための、主な研究的課題と機会を特定すること。

提案手法

• 著者らは、Zedboard FPGA上に実装されたZedboard FPGA上に実装されたRocket SoCとBOOMマルチコアRISC-V設計を用いて、PRIME+PROBEキャッシュタイミング攻撃を実装した。
• 攻撃は、商用のHiFive Unleashed RISC-Vマルチコアボードでも検証され、プラットフォームに依存しない脆弱性を確認した。
• 攻撃は、RSA暗号化における鍵ビット0と鍵ビット1の間のキャッシュアクセス遅延の差を測定し、秘密鍵ビットを推定する。
• 共有可能なワークロード下でのタイミング差を分析することで、共有実行環境における攻撃の耐性を評価した。
• RISC-V ISAに従来の対策（例：clflush）が存在しないことの影響を評価した。これは、x86/ARMで用いられる伝統的な対策がRISC-Vでは利用できないことを示している。
• FPGAとASICベースのRISC-V実装の間で比較分析を行い、脆弱性の一般性を評価した。

実験結果

リサーチクエスチョン

• RQ1 PRIME+PROBEのようなサイドチャネル攻撃が、RISC-Vマイクロプロセッサに対して効果的に実行可能であり、暗号処理における秘密鍵を抽出できるか？
• RQ2 RISC-Vのアーキテクチャ的特徴（例：メモリモデル、特定の命令（例：clflush）の欠如）は、キャッシュベースのサイドチャネル攻撃の実行可能性および効果にどのように影響するか？
• RQ3 RISC-Vにおけるタイミングサイドチャネル脆弱性は、下位のハードウェアプラットフォームに依存する程度はどの程度か？ また、FPGAプロトタイプからの知見は、商用ASICに一般化可能か？
• RQ4 埋め込みシステムからハイパフォーマンスシステムに至るまで多様なRISC-V実装にわたり、効果的である軽量で汎用的な防御メカニズムを設計するにあたり、主な課題は何か？
• RQ5 RISC-V ISAのオープンかつ拡張可能な性質を活かして、ソフトウェアによって利用可能なハードウェアサイドチャネル攻撃に耐性のある、セキュア・バイ・デザインのマイクロアーキテクチャをどのように開発できるか？

主な発見

• PRIME+PROBE攻撃は、FPGAベースのRocket SoCおよび商用のHiFive Unleashedボードの両方でRSA暗号化からの秘密鍵ビットを効果的に抽出した。これは、複数のプラットフォームにわたる脆弱性を確認したことを示している。
• 共有可能なワークロード下でも、鍵ビット0と鍵ビット1におけるキャッシュアクセスパターンのタイミング差が明確に測定可能であり、信頼性の高い鍵回復が可能であった。
• clflush命令の欠如にもかかわらず脆弱性が継続していることから、特定の特権命令に依存しない代替のサイドチャネル経路が存在することが示された。
• FPGAおよびASIC実装の両方で同じタイミングサイドチャネル漏洩が観察されたため、脆弱性はRISC-Vのマイクロアーキテクチャ設計そのものに起因するものであり、実装固有のものではないことが示唆された。
• 結果から、RISC-VはSpectre や Meltdown といった既知のサイドチャネル攻撃に対しても脆弱であることが示され、キャッシュタイミングを越えた広範なセキュリティインパクトを有することが明らかになった。
• 現在のx86およびARM向けに特化した防御メカニズムはRISC-Vには直接適用できないことが判明し、新たな汎用的でRISC-Vに特化した防御戦略の開発が不可欠であることが示された。