[論文レビュー] ZombieLoad: Cross-Privilege-Boundary Data Sampling

Michael Schwarz, Moritz Lipp+5 more|Lirias (KU Leuven)|May 14, 2019

Security and Verification in Computing参考文献 57被引用数 50

ひとこと要約

ZombieLoad は、フィルバッファを通じて漏洩したデータ値を抽出する Meltdown 型の一時実行攻撃であり、プロセス間・仮想マシン間・権限間・SGX エンクレーブ間のデータ漏洩を可能にし、対策としてハイパースレッディングの無効化を提案する。

ABSTRACT

In early 2018, Meltdown first showed how to read arbitrary kernel memory from user space by exploiting side-effects from transient instructions. While this attack has been mitigated through stronger isolation boundaries between user and kernel space, Meltdown inspired an entirely new class of fault-driven transient execution attacks. Particularly, over the past year, Meltdown-type attacks have been extended to not only leak data from the L1 cache but also from various other microarchitectural structures, including the FPU register file and store buffer. In this paper, we present the ZombieLoad attack which uncovers a novel Meltdown-type effect in the processor's previously unexplored fill-buffer logic. Our analysis shows that faulting load instructions (i.e., loads that have to be re-issued for either architectural or microarchitectural reasons) may transiently dereference unauthorized destinations previously brought into the fill buffer by the current or a sibling logical CPU. Hence, we report data leakage of recently loaded stale values across logical cores. We demonstrate ZombieLoad's effectiveness in a multitude of practical attack scenarios across CPU privilege rings, OS processes, virtual machines, and SGX enclaves. We discuss both short and long-term mitigation approaches and arrive at the conclusion that disabling hyperthreading is the only possible workaround to prevent this extremely powerful attack on current processors.

研究の動機と目的

• キャッシュやL1データ漏洩を超える新しい種類の Meltdown 型攻撃を動機づけ、理解する。
• フィルバッファを通じてデータをサンプリングする仕組みを可能にするマイクロアーキテクチャ機構を特定する。
• プロセス間、VM、SGXエンクレーブ、カーネル空間を横断する漏洩を実証する。
• 対策を評価し、なぜハイパースレッディングの無効化が必要かを論じる。

提案手法

• ZombieLoad を、フィルバッファロジックを標的とする一時実行攻撃として説明する。
• 故障読み込みが以前の読み込みから一時的にデータを読み取る可能性がある“stale-entry”仮説を特徴づける。
• マイクロアーキテクチャの観察と実験（キャッシュ不可のメモリページや TSX トランザクションを含む）を用いて漏洩源を特定する。
• ZombieLoad を、 leaked data 値と命令ポインタを結びつけるデータサンプリング攻撃として分類する。
• クロスプロセス、クロスVM、SGX、カーネルからユーザー空間への漏洩を含む攻撃シナリオを実証する。
• 潜在的な対策と対策の実用的考慮事項を論じる。

実験結果

リサーチクエスチョン

• RQ1 フィルバッファを利用して、権限境界を跨いでデータ値を漏らす Meltdown 型の一時実行攻撃は可能か。
• RQ2 ZombieLoad はコアを跨ぐ、プロセスを跨ぐ、VMを跨ぐ、SGXエンクレーブのデータ漏洩を可能にするか、どの条件下でか。
• RQ3 明示的なアドレス対象化なしでデータをサンプリングさせるマイクロアーキテクチャの機構（例：フィルバッファ動作、マイクロコード支援）とは何か。
• RQ4 ZombieLoad に効果的に対処する対策は何か、またそのトレードオフは何か。

主な発見

• ZombieLoad は、フォールト読み込み時にフィルバッファを介して最近読み込まれた古い値を論理コア間で漏洩させる。
• ユーザ空間、カーネル空間、SGXエンクレーブ、仮想マシン、ハイパーバイザー全体で漏洩が実証されている。
• 攻撃者は明示的なアドレス targeting なしでデータを回収できるため、ZombieLoad はアドレスベースの漏洩ではなくデータサンプリングと分類される。
• 一時領域で漏洩データの後処理は、以前の一時攻撃を上回る有用なシグナル抽出を改善する。
• 著者らは、現在のプロセッサで ZombieLoad の悪用を防ぐ唯一の実用的な回避策はハイパースレッディングの無効化であると主張する。
• この攻撃は SGX の機密性とリモートアテステーションを損なうことがあり、エンクレーブ内にロードされた秘密を漏洩させる。