[논문 리뷰] CAn't Touch This: Practical and Generic Software-only Defenses Against Rowhammer Attacks

Franz Ferdinand Brasser, Lucas Davi외 3명|arXiv (Cornell University)|2016. 11. 25.

Security and Verification in Computing참고 문헌 14인용 수 16

한 줄 요약

이 논문은 B-CATT와 G-CATT를 제안하며, 이는 오직 소프트웨어 기반으로 행(row) 해머 공격에 대응하는 실용적인 방식이다. B-CATT는 결함이 있는 메모리 페이지를 블랙리스트에 등재하여 취약한 DRAM에서 비트 플립을 방지하고, G-CATT는 메모리 도메인을 격리하여 공격을 제한한다. 두 방식 모두 성능 저하가 거의 없고 가짜 경고가 없으며, 모든 알려진 행 해머 공격을 막을 수 있어 기존 x86 및 ARM 시스템을 즉각적으로 보호할 수 있다.

ABSTRACT

Rowhammer is a hardware bug that can be exploited to implement privilege escalation and remote code execution attacks. Previous proposals on rowhammer mitigation either require hardware changes or follow heuristic-based approaches (based on CPU performance counters). To date, there exists no instant protection against rowhammer attacks on legacy systems. In this paper, we present the design and implementation of two practical and efficient software-only defenses against rowhammer attacks. Our defenses prevent the attacker from leveraging rowhammer to corrupt physically co-located data in memory that is owned by a different system entity. Our first defense, B-CATT, extends the system bootloader to disable vulnerable physical memory. B-CATT is highly practical, does not require changes to the operating system, and can be deployed on virtually all x86-based systems. While B-CATT is able to stop all known rowhammer attacks, it does not yet tackle the fundamental problem of missing memory isolation in physical memory. To address this problem, we introduce our second defense G-CATT, a generic solution that extends the physical memory allocator of the OS to physically isolate the memory of different system entities (e.g., kernel and user space). As proof of concept, we implemented B-CATT on x86, and our generic defense, G-CATT, on x86 and ARM to mitigate rowhammer-based kernel exploits. Our extensive evaluation shows that both mitigation schemes (i) can stop available real- world rowhammer attacks, (ii) impose virtually no run-time overhead for common user and kernel benchmarks as well as commonly used applications, and (iii) do not affect the stability of the overall system.

연구 동기 및 목표

• 기존 시스템에 대한 실용적이고 소프트웨어 기반의 행 해머 방어 기법이 부족한 문제를 해결하기 위해.
• 이전 히ュ리스틱 기반 접근 방식에서 발견된 가짜 경고와 높은 런타임 오버헤드를 제거하기 위해.
• OS나 하드웨어 수정 없이도 모든 알려진 행 해머 공격을 막을 수 있는 결정론적이고 구현 가능한 솔루션을 제공하기 위해.
• OS 수준의 메모리 할당 확장을 통해 시스템 엔티티(예: 커널과 사용자 공간) 간 메모리 격리 기능을 제공하기 위해.
• 성능 카운터나 ECC 메모리가 없는 시스템에서도 소프트웨어만으로도 행 해머 완화가 가능하다는 것을 입증하기 위해.

제안 방법

• B-CATT는 시스템 부트로더를 확장하여 부팅 시 물리적 메모리를 스캔하고 취약한 메모리 페이지를 블랙리스트에 등재함으로써 사용을 방지한다.
• G-CATT는 OS의 물리적 메모리 할당기 구현을 수정하여 메모리 페이지를 격리된 보안 도메인에 할당함으로써 행 해머로 인한 비트 플립을 공격자 제어 메모리 영역 내로 국한시킨다.
• 이 방어 기법은 x86 및 ARM 플랫폼에 모두 구현되었으며, B-CATT는 기존 시스템을 대상으로 하고, G-CATT는 일반적이고 확장 가능한 솔루션을 제공한다.
• B-CATT는 특수한 CPU 기능이 필요 없이 메모리 스캔과 페이지 블랙리스트 기반 기능을 사용하여 광범위한 호환성을 확보한다.
• G-CATT는 비트 플립이 동일한 보안 도메인 내의 메모리에만 영향을 주도록 보장하여 신뢰 경계를 넘는 공격을 불가능하게 한다.
• 두 방어 기법은 표준 벤치마크와 실제 행 해머 공격을 대상으로 평가되었으며, 정상적인 워크로드 하에서 성능이 측정되었다.

실험 결과

연구 질문

• RQ1 하드웨어 수정 없이도 소프트웨어 기반 방어 기법이 모든 알려진 행 해머 공격을 방지할 수 있는가?
• RQ2 비트 플립에 대한 보호를 보장하면서도 거의 영향을 주지 않는 런타임 오버헤드를 달성할 수 있는가?
• RQ3 OS 수준에서 메모리 격리를 강제하여 행 해머로 인한 비트 플립을 공격자 제어 메모리 영역 내로 국한시킬 수 있는가?
• RQ4 부트로더 기반 메모리 블랙리스트 방식이 기존 시스템에 대해 실용적이고 확장 가능한 솔루션을 제공할 수 있는가?
• RQ5 일반적인 OS 수준의 메모리 할당기 확장을 통해 성능 카운터나 히ュ리스틱 기반 기법에 의존하지 않고도 행 해머를 효과적으로 완화할 수 있는가?

주요 결과

• B-CATT는 부팅 시 취약한 물리적 메모리 페이지를 블랙리스트에 등재함으로써 모든 알려진 행 해머 공격을 성공적으로 방지하며, 시스템 안정성에 영향을 주지 않는다.
• B-CATT의 최악의 경우 런타임 오버헤드는 단 0.29%이며, 이는 이전의 히ュ리스틱 기반 방어 기법인 ANVIL의 8% 오버헤드보다 훨씬 낮다.
• G-CATT는 행 해머로 인한 비트 플립을 공격자 제어 메모리 도메인 내로 효과적으로 격리하여, 공격 대상이 아닌 신뢰할 수 있는 메모리 페이지의 공격을 방지한다.
• 두 방어 기법은 x86 및 ARM 플랫폼 모두에서 완전히 기능하며, 다양한 아키텍처 간 호환성을 입증한다.
• 평가 결과, 두 방어 기법 모두 가짜 경고를 유발하지 않으며, ANVIL와 같은 히ュ리스틱 기반 접근 방식과는 달리 안정적인 성능을 보였다.
• 제안된 방어 기법은 OS나 하드웨어 변경 없이도 거의 모든 x86 기반 시스템에서 구현 가능하여 기존 시스템의 즉각적인 보호를 가능하게 한다.