[논문 리뷰] A Systematic Evaluation of Transient Execution Attacks and Defenses

Claudio Canella, Jo Van Bulck외 7명|arXiv (Cornell University)|2018. 11. 13.

Security and Verification in Computing참고 문헌 44인용 수 157

한 줄 요약

이 논문은 Spectre- 및 Meltdown-형 트랜지언트 실행 공격을 체계화하고, 여섯 가지의 이전에 간과된 공격을 밝혀내며, Intel, AMD, 및 ARM CPU에서 방어의 효과를 평가한다.

ABSTRACT

Research on transient execution attacks including Spectre and Meltdown showed that exception or branch misprediction events might leave secret-dependent traces in the CPU's microarchitectural state. This observation led to a proliferation of new Spectre and Meltdown attack variants and even more ad-hoc defenses (e.g., microcode and software patches). Both the industry and academia are now focusing on finding effective defenses for known issues. However, we only have limited insight on residual attack surface and the completeness of the proposed defenses. In this paper, we present a systematization of transient execution attacks. Our systematization uncovers 6 (new) transient execution attacks that have been overlooked and not been investigated so far: 2 new exploitable Meltdown effects: Meltdown-PK (Protection Key Bypass) on Intel, and Meltdown-BND (Bounds Check Bypass) on Intel and AMD; and 4 new Spectre mistraining strategies. We evaluate the attacks in our classification tree through proof-of-concept implementations on 3 major CPU vendors (Intel, AMD, ARM). Our systematization yields a more complete picture of the attack surface and allows for a more systematic evaluation of defenses. Through this systematic evaluation, we discover that most defenses, including deployed ones, cannot fully mitigate all attack variants.

연구 동기 및 목표

• 알려진 변형을 넘어선 트랜지언트 실행 공격의 전체 공격 표면에 대한 이해를 확장한다.
• Spectre- 및 Meltdown-type 공격에 대한 모호하지 않은 분류법과 명명 체계를 제공한다.
• 간과된 mistraining 전략과 새로운 공격 변형을 식별한다.
• 현재 방어를 체계적으로 평가하고 남아 있는 공격 표면을 설명한다.
• 트랜지언트 실행 공격의 전체 클래스들을 완화하는 방어 설계에 대한 지침을 제공한다.

제안 방법

• 근원 원인과 단계별로 트랜지언트 실행 공격을 분류하기 위한 의사 결정 트리 기반 분류법을 개발한다.
• Intel, AMD, 및 ARM 하드웨어에서 개념 증명과 함께 여섯 가지의 이전에 간과된 공격을 시연한다.
• Spectre 변형에 대한 네 가지 mistraining 전략과 두 가지 새로운 Meltdown-type 효과를 도입하고 검증한다.
• 다양한 방어책을 실험적으로 평가하고 어떤 완화책이 효과적이며 충분하지 않은지 논의한다.
• Spectre-type과 Meltdown-type 공격 메커니즘을 비교하여 방어의 하드웨어-소프트웨어 동시 설계를 안내한다.

실험 결과

연구 질문

• RQ1 이전에 알려진 변형을 넘어서는 트랜지언트 실행 공격의 전체 표면은 무엇인가?
• RQ2 다수의 CPU 벤더에서 새로운 mistraining 전략과 Meltdown-type 효과를 시연할 수 있는가?
• RQ3 확대된 트랜지언트 실행 공격 집합에 대해 배포된 방어책과 제안된 방어책의 효과는 어느 정도인가?
• RQ4 개별 변형이 아니라 트랜지언트 실행 공격의 전체 클래스를 완화할 수 있는 설계 원칙은 무엇인가?

주요 결과

• 여섯 가지의 이전에 간과된 트랜지언트 실행 공격이 확인되었으며, 그중 두 가지는 Meltdown-type 효과(Meltdown-PK 및 Meltdown-BND)이고, 네 가지는 Spectre mistraining 전략이다.
• 개념 증명 실험은 Intel, AMD, 및 ARM CPU에 대한 공격을 보여주며 알려진 공격 표면을 확장한다.
• 대부분의 방어책은 모든 공격 변형을 완전히 완화하지 않는다.
• Spectre-type 공격은 하드웨어-소프트웨어 동시 설계가 필요하며, Meltdown-type 방어는 실리콘에서 잘못된 결과의 전달을 차단하거나 특정 완화책을 통해 해결될 수 있다.
• 연구는 mistraining 전략의 맹점들을 드러내며, 완화책이 적용된 상태에서도 여러 변형이 악용될 수 있음을 보여준다.
• 분류 체계는 원인과 공격 경로를 명확히 하여 더 포괄적인 방어 설계에 도움을 준다.