[논문 리뷰] CacheShield: Protecting Legacy Processes Against Cache Attacks

Samira Briongos, Gorka Irazoqui외 2명|arXiv (Cornell University)|2017. 09. 06.

Security and Verification in Computing참고 문헌 40인용 수 12

한 줄 요약

CacheShield는 하드웨어 성능 카운터—특히 L3 캐시 미스—를 모니터링하여 레거시 암호 처리 과정에서의 캐시 공격을 탐지하는 경량의 사용자 수준 도구이다. 변경점 탐지 기법을 활용해 실시간으로 공격을 탐지할 수 있으며, 최소한의 오버헤드와 높은 정확도를 제공하며, 노이즈가 많은 조건에서도 작동한다. 운영체제나 하이퍼바이저의 수정이 필요하지 않다.

ABSTRACT

Cache attacks pose a threat to any code whose execution flow or memory accesses depend on sensitive information. Especially in public clouds, where caches are shared across several tenants, cache attacks remain an unsolved problem. Cache attacks rely on evictions by the spy process, which alter the execution behavior of the victim process. We show that hardware performance events of cryptographic routines reveal the presence of cache attacks. Based on this observation, we propose CacheShield, a tool to protect legacy code by monitoring its execution and detecting the presence of cache attacks, thus providing the opportunity to take preventative measures. CacheShield can be run by users and does not require alteration of the OS or hypervisor, while previously proposed software-based countermeasures require cooperation from the hypervisor. Unlike methods that try to detect malicious processes, our approach is lean, as only a fraction of the system needs to be monitored. It also integrates well into today's cloud infrastructure, as concerned users can opt to use CacheShield without support from the cloud service provider. Our results show that CacheShield detects cache attacks fast, with high reliability, and with few false positives, even in the presence of strong noise.

연구 동기 및 목표

• 공유 클라우드 환경에서 캐시 공격에 대비한 실용적이고 사용자 수준의 방어 수단의 부족을 해결한다.
• 클라우드 제공업체의 협조나 운영체제/하이퍼바이저의 수정 없이도 해결책을 제공한다.
• 기존 코드에서 알려진 모든 캐시 공격 유형(예: Prime+Probe, Flush+Reload, Flush+Flush)을 탐지할 수 있도록 한다.
• 실행 중인 타겟 프로세스에만 모니터링을 제한하여, 전체 시스템 프로세스를 모니터링하지 않음으로써 성능 오버헤드를 최소화한다.
• 기존 클라우드 인fra구조 및 하드웨어와 호환되는 구현 가능한 옵트인 방어 메커니즘을 제공한다.

제안 방법

• 게스트 VM에 노출된 하드웨어 성능 카운터를 사용해 L3 캐시 미스 이벤트를 모니터링한다.
• 변경점 탐지 알고리즘을 적용하여 캐시 미스 비율의 급격한 증가를 식별함으로써 잠재적 공격을 탐지한다.
• 시스템 전체 모니터링을 피하기 위해 타겟 프로세스의 성능 카운터 데이터만 사용한다.
• VM 내에서 필요에 따라 도구를 활성화하여 지속적인 오버헤드를 줄인다.
• 하드웨어 성능 카운터에 대한 투명한 액세스를 지원하는 기존 가상화 스택과 통합한다.
• 이상적인 캐시 미스 패턴이 감지되면 조치를 취한다(예: 키 삭제, 노이즈 주입, 더미 작업 수행).

실험 결과

연구 질문

• RQ1 현대 프로세서의 하드웨어 성능 카운터는 레거시 암호 애플리케이션에서 캐시 공격을 신뢰성 있게 탐지할 수 있는가?
• RQ2 변경점 탐지 알고리즘이 최소한의 오진을 유발하면서 실시간으로 공격 발생을 효과적으로 식별할 수 있는가?
• RQ3 타겟 프로세스의 캐시 미스 행동만으로 모든 알려진 캐시 공격 유형을 탐지하는 것이 가능한가?
• RQ4 하이퍼바이저나 운영체제의 수정 없이도 낮은 성능 오버헤드로 이러한 탐지를 달성할 수 있는가?
• RQ5 클라우드 환경에서 흔히 발생하는 실제 시스템 노이즈 수준에서도 탐지 메커니즘이 얼마나 잘 작동하는가?

주요 결과

• CacheShield는 타겟 프로세스의 L3 캐시 미스를 모니터링하여 Prime+Probe, Flush+Reload, Flush+Flush 등 모든 알려진 캐시 공격 유형을 탐지한다.
• 클라우드 환경에서 흔히 발생하는 높은 시스템 노이즈 조건에서도 매우 낮은 오진률로 높은 탐지 정확도를 달성한다.
• L3 캐시 미스 카운터에만 변경점 탐지 알고리즘을 적용하는 것으로도 신뢰성 있는 공격 탐지가 가능하며, 추가 성능 이벤트가 필요하지 않다.
• 모든 공격이 타겟의 캐시 미스를 측정 가능한 방식으로 유도하므로, 알려지지 않은 또는 새로운 공격에 대해서도 탐지가 효과적으로 작동한다.
• 모니터링이 타겟 프로세스에 국한되고 실행 중에만 활성화되기 때문에 성능 오버헤드가 매우 낮다.
• 하이퍼바이저 수준의 성능 카운터 액세스만 필요로 하므로 기존 클라우드 인fra구조와 호환되며, 주요 가상화 플랫폼에서 이미 이를 지원하고 있다.