[論文レビュー] The RowHammer Problem and Other Issues We May Face as Memory Becomes Denser

Onur Mutlu|arXiv (Cornell University)|Mar 2, 2017

Advanced Memory and Neural Computing参考文献 63被引用数 14

ひとこと要約

この論文は、繰り返し行アクセスが原因で発生するセル間干渉によって引き起こされるDRAMにおける深刻なハードウェア由来のセキュリティ脆弱性であるRowHammerを特定し、ユーザー層でのエクスプロイトにより特権昇格やシステム乗っ取りが可能であることを実証している。今後のメモリ技術が高密度化するに伴い、同種の脆弱性を予測・防止するため、システムとメモリの共同設計および原則的な故障モデル化を提唱している。

ABSTRACT

As memory scales down to smaller technology nodes, new failure mechanisms emerge that threaten its correct operation. If such failure mechanisms are not anticipated and corrected, they can not only degrade system reliability and availability but also, perhaps even more importantly, open up security vulnerabilities: a malicious attacker can exploit the exposed failure mechanism to take over the entire system. As such, new failure mechanisms in memory can become practical and significant threats to system security. In this work, we discuss the RowHammer problem in DRAM, which is a prime (and perhaps the first) example of how a circuit-level failure mechanism in DRAM can cause a practical and widespread system security vulnerability. RowHammer, as it is popularly referred to, is the phenomenon that repeatedly accessing a row in a modern DRAM chip causes bit flips in physically-adjacent rows at consistently predictable bit locations. It is caused by a hardware failure mechanism called DRAM disturbance errors, which is a manifestation of circuit-level cell-to-cell interference in a scaled memory technology. We analyze the root causes of the RowHammer problem and examine various solutions. We also discuss what other vulnerabilities may be lurking in DRAM and other types of memories, e.g., NAND flash memory or Phase Change Memory, that can potentially threaten the foundations of secure systems, as the memory technologies scale to higher densities. We conclude by describing and advocating a principled approach to memory reliability and security research that can enable us to better anticipate and prevent such vulnerabilities.

研究の動機と目的

• 回路レベルのDRAM障害が実用的なシステム全体のセキュリティエクスプロイトに繋がるメカニズムを示す、RowHammer脆弱性を代表例として分析すること。
• RowHammerの根本的要因、すなわちDRAMの干渉エラーおよび隣接する行間の物理的干渉を調査すること。
• 2008年から2014年までの129個のDRAMモジュールを対象に、RowHammerの実世界での広がりと深刻度を評価し、広範な脆弱性が存在することを示すこと。
• NANDフラッシュやフェーズ・チェンジ・メモリなどの他のメモリ技術における類似した故障メカニズムを調査し、今後のセキュリティリスクを予測すること。
• 将来の生産システムに現れる可能性のあるハードウェア脆弱性を事前に予測・緩和できる、原則的で共同設計に基づいたメモリ信頼性およびセキュリティ研究のアプローチを提唱すること。

提案手法

• 3大メーカーの129個の一般流通型DRAMモジュールを対象に、FPGAを用いた実験的DRAMテストインfraを構築し、RowHammer挙動を体系的にプローブおよび測定した。
• 1回のリフレッシュインターバル内での繰り返しの行アクティベートおよびプリチャージサイクルを制御した実験により、物理的に隣接する行におけるビット反転を観察した。
• 2008年から2014年までの異なるDRAM世代間での故障パターンを分析し、2012年から2013年に製造されたすべてのモジュールがRowHammerに対して脆弱であることを同定した。
• システムとメモリの共同設計をコアなアプローチとして提唱し、障害誘発脆弱性を検出・是正・防止するため、知能的なメモリコントローラーとアーキテクチャ的メカニズムを統合した。
• 小規模なデバイステストおよび大規模な現場運用からの実験データを用いた故障モデル化と予測を推奨し、今後の設計を支援すること。
• アーキテクチャ的およびシステムレベルの信頼性メカニズムと整合する統合的設計、自動化、およびテスト手法を推進し、包括的な故障カバレッジを確保すること。

実験結果

リサーチクエスチョン

• RQ1 現代のDRAMにおけるRowHammer脆弱性の根本的要因は何か？ また、回路レベルではどのように現れるか？
• RQ2 RowHammer脆弱性は、異なるDRAMモジュールおよび製造時代に広がっているか？
• RQ3 ユーザー層プログラムは、実世界のシステムでRowHammerをエクスプロイトし、特権昇格やシステム乗っ取りを達成できるか？
• RQ4 NANDフラッシュやフェーズ・チェンジ・メモリなどの他のメモリ技術は、高密度化に伴い同様のハードウェア由来のセキュリティ脆弱性を示す可能性があるか？
• RQ5 生産システムに現れる前に、こうした脆弱性を予測・防止できる、原則的でアーキテクチャ的および設計的アプローチは何か？

主な発見

• 129個のテスト対象DRAMモジュールのうち110個（2008年～2014年製）がRowHammerに起因するビット反転を示し、2012年～2013年製のすべてのモジュールが脆弱であった。
• RowHammerは現実的かつ広範にわたる脆弱性であり、Google Project Zeroの研究者が、ユーザー層コードのみでカーネル特権の昇格を実証した。
• この脆弱性は、スケーリングに起因するセル間干渉によるDRAMの干渉エラーに起因し、ソフトウェアバグや設定ミスによるものではない。
• 現象は予測可能で一貫性があり、繰り返しの行アクセス後に特定で再現可能な場所で、隣接する行にビット反転が発生する。
• RowHammerは、リモートサーバー乗っ取り、VMエスケープ、権限なしのモバイルデバイス改ざんなど、複数の実世界攻撃シナリオで実際にエクスプロイトされている。
• 本論文は、生産現場で利用可能になる前に脆弱性を予測・防止できる、能動的かつ共同設計に基づいたシステムおよびメモリアーキテクチャが不可欠であると結論づけている。