[論文レビュー] Software Grand Exposure: SGX Cache Attacks Are Practical

Ferdinand Brasser, Urs Müller+4 more|arXiv (Cornell University)|Feb 24, 2017

Security and Verification in Computing参考文献 40被引用数 241

ひとこと要約

この論文は SGX エンクレーブに対する実用的なキャッシュベースのサイドチャネル攻撃を示し、攻撃者はエンクレーブの実行を妨げることなく、RSA-2048鍵の70%を含む重要な秘密情報を抽出できること、およびゲノム配列の検出を含むことを示している。

ABSTRACT

Side-channel information leakage is a known limitation of SGX. Researchers have demonstrated that secret-dependent information can be extracted from enclave execution through page-fault access patterns. Consequently, various recent research efforts are actively seeking countermeasures to SGX side-channel attacks. It is widely assumed that SGX may be vulnerable to other side channels, such as cache access pattern monitoring, as well. However, prior to our work, the practicality and the extent of such information leakage was not studied. In this paper we demonstrate that cache-based attacks are indeed a serious threat to the confidentiality of SGX-protected programs. Our goal was to design an attack that is hard to mitigate using known defenses, and therefore we mount our attack without interrupting enclave execution. This approach has major technical challenges, since the existing cache monitoring techniques experience significant noise if the victim process is not interrupted. We designed and implemented novel attack techniques to reduce this noise by leveraging the capabilities of the privileged adversary. Our attacks are able to recover confidential information from SGX enclaves, which we illustrate in two example cases: extraction of an entire RSA-2048 key during RSA decryption, and detection of specific human genome sequences during genomic indexing. We show that our attacks are more effective than previous cache attacks and harder to mitigate than previous SGX side-channel attacks.

研究の動機と目的

• OSが妥協された現実的な攻撃モデルで SGX エンクレーブがキャッシュベースのサイドチャネル攻撃に脆弱であることを示す。
• エンクレーブの実行を妨げることなく SGX に対して効果的な Prime+Probe キャッシュ攻撃を実行する方法を示す。
• SGX 内の暗号演算と非暗号的ワークロード（ゲノムインデックス作成）からの情報漏えいを定量化する。
• 提示された攻撃を緩和できない現行の防御策を評価し、なぜ機能しないのかを論じる。

提案手法

• ノイズを最小化するために attacker と victim を専用コア上で実行することで SGX に対する Prime+Probe キャッシュサイドチャネル手法を適用する。
• Performance Monitoring Counters (PMCs) を使用してキャッシュラインの追い出しを検知し、エンクレーブ側 PMC 制限を回避する。
• OS のスケジューリングを修正して攻撃コアを分離し、割り込みを減らしてエンクレーブ実行の中断を維持する。
• 高頻度でキャッシュラインの追い出しを監視し、複数のエポックにわたって結果を整合させて被害者のアクセスパターンを再構築する。
• RSA の復号とゲノムインデックスワークフローへ攻撃を適用し、暗号的および非暗号的漏えいを実証する。

実験結果

リサーチクエスチョン

• RQ1 エンクレーブの実行を中断することなく、キャッシュアクセスパターンを通じて秘密依存情報を漏らす SGX エンクレーブはあるのか。
• RQ2 暗号（RSA）および非暗号的（ゲノムインデックス作成）ワークロードに対するキャッシュベースの漏えいの現実性と程度はどの程度か。
• RQ3 既存の防御策は非 interrupting SGX キャッシュ攻撃に対してどの程度有効か。

主な発見

• SGX に対するキャッシュ攻撃は実用的で、エンクレーブ実行を中断することなく意味のある秘密情報を抽出できる。
• RSA 復号では、攻撃は 300 回の繰り返し復号と 10 個の監視された乗数での 15 回の繰り返しから 2048 bit 鍵の 70% を回収した。
• RSA 攻撃は事前計算済み乗数の監視を活用しており、1 エポック内に各乗数につき 16 回の反復アクセスを観測することで候補特定が可能となる。
• ゲノムインデックス作業負荷では、攻撃者はゲノム依存のハッシュテーブルアクセスを観測することでミニサテライト配列を検出できる。
• 現在の防御策（T-SGX や Déjá Vu など）は、実践的には提示された非中断型キャッシュ攻撃を緩和できない。
• これらの攻撃は、従来の SGX キャッシュベース攻撃よりも効果的であり、前例のある SGX サイドチャネル手法よりも緩和が困難である。