[논문 리뷰] Leaky Cauldron on the Dark Land: Understanding Memory Side-Channel Hazards in SGX

Wenhao Wang, Guoxing Chen외 6명|Open MIND|2017. 05. 20.

Security and Verification in Computing참고 문헌 35인용 수 39

한 줄 요약

이 논문은 인텔 SGX의 메모리 사이드채널 취약성에 대한 종합적인 분석을 제시하며, TLB에서 DRAM에 이르기까지 여덟 가지 공격 벡터를 규명한다. 접근 플래그, 타이밍, 하이퍼스레딩, 그리고 크로스-엔클레이브 DRAM 채널을 활용한 더 은밀하고 경량의 공격 기법을 시연하며, 기존의 페이지-페트 유도 공격에 대비한 방어 조치가 부족함을 입증한다. 공격자가 유사한 효과를 발휘할 수 있는 대안적 채널을 통해 이러한 방어 조치를 우회할 수 있음을 보여준다.

ABSTRACT

Side-channel risks of Intel's SGX have recently attracted great attention. Under the spotlight is the newly discovered page-fault attack, in which an OS-level adversary induces page faults to observe the page-level access patterns of a protected process running in an SGX enclave. With almost all proposed defense focusing on this attack, little is known about whether such efforts indeed raise the bar for the adversary, whether a simple variation of the attack renders all protection ineffective, not to mention an in-depth understanding of other attack surfaces in the SGX system. In the paper, we report the first step toward systematic analyses of side-channel threats that SGX faces, focusing on the risks associated with its memory management. Our research identifies 8 potential attack vectors, ranging from TLB to DRAM modules. More importantly, we highlight the common misunderstandings about SGX memory side channels, demonstrating that high frequent AEXs can be avoided when recovering EdDSA secret key through a new page channel and fine-grained monitoring of enclave programs (at the level of 64B) can be done through combining both cache and cross-enclave DRAM channels. Our findings reveal the gap between the ongoing security research on SGX and its side-channel weaknesses, redefine the side-channel threat model for secure enclaves, and can provoke a discussion on when to use such a system and how to use it securely.

연구 동기 및 목표

• 기존에 잘 알려진 페이지-페트 공격을 초월해 인텔 SGX의 메모리 사이드채널 위협을 체계적으로 분석하기 위해.
• SGX의 메모리 관리에서 간과되었던 공격 벡터, 특히 TLB, 캐시, DRAM을 식별하고 평가하기 위해.
• 기존의 페이지-페트 공격을 대상으로 한 방어 조치가 새로운 은밀한 사이드채널 기법에 대해 무력하다는 것을 입증하기 위해.
• 현재의 SGX 보안 연구와 실제 사이드채널 위험 간 격차, 특히 세밀한 모니터링과 고주파 정보 泄露에 대해 드러내기 위해.
• 캐시 및 DRAM 기반 채널을 통합한 낮은 오버헤드, 고정밀 공격의 가능성을 드러내어 안전한 엔클레이브의 위협 모델을 재정의하기 위해.

제안 방법

• 페이지 테이블, TLB, 캐시, DRAM 모듈을 포함한 SGX 메모리 관리 구성 요소의 체계적 역공학 및 위협 모델링을 수행하였다.
• 페이지 페트를 피하고 AEX 빈도를 줄이기 위해 PTE 접근/脏 플래그를 활용한 새로운 사이드채널 공격 기법을 설계하고 평가하였다.
• 캐시 사이드채널 기법(예: Flush+Reload)과 크로스-엔클레이브 DRAM 액세스 패턴을 조합하여 64바이트 단위의 세밀한 모니터링을 가능하게 하였다.
• 하이퍼스레딩을 활용해 TLB 플러시와 타이밍 사이드채널을 유도함으로써 은밀하고 저비용의 정보 유출을 가능하게 하였다.
• 신규 페이지 채널 및 DRAM 기반 채널을 통해 EdDSA 비밀 키의 정보 유출을 측정함으로써 공격의 효과성을 평가하였다.
• T-SGX 및 DÉJÀ VU와 같은 기존 방어 조치에 대비해 신규 공격 기법의 도입 여부를 타이밍, 인터럽트 발생 빈도, 방어 조치에 대한 저항성 측면에서 비교 분석하였다.

실험 결과

연구 질문

• RQ1 인텔 SGX에서 페이지-페트 공격 외의 모든 메모리 사이드채널 공격 벡터는 무엇인가?
• RQ2 높은 빈도의 AEX를 피하면서도 고정밀 정보 유출을 유지할 수 있는 사이드채널 공격이 은밀하게 구현될 수 있는가?
• RQ3 T-SGX 및 DÉJÀ VU와 같은 기존 방어 조치가 캐시나 DRAM 기반의 대안적 사이드채널에 대해 얼마나 효과적으로 기능하지 못하는가?
• RQ4 캐시 사이드채널과 크로스-엔클레이브 DRAM 사이드채널를 조합함으로써 64바이트 수준의 세밀한 모니터링이 가능할 수 있는가?
• RQ5 신규 공격의 효과성은 기존의 페이지-페트 공격 대비 은밀성 및 정보 유출 속도 측면에서 어떻게 비교되는가?

주요 결과

• TLB에서 DRAM 모듈에 이르기까지 여덟 가지의 독립된 메모리 사이드채널 공격 벡터가 SGX에서 규명되었으며, 이는 알려진 위협 표면을 크게 확장한다.
• PTE 접근 플래그를 활용해 고주파 AEX를 피하는 새로운 페이지 채널 공격이 시연되었으며, 이는 기존의 페이지-페트 공격보다 더 은밀하다.
• 캐시 사이드채널 기법과 크로스-엔클레이브 DRAM 액세스 패턴을 조합함으로써 64바이트 단위의 세밀한 모니터링이 가능하다.
• 신규 공격는 페이지-페트 공격와 유사한 정보 유출 효과를 달성하지만, 인터럽트 발생 빈도가 낮아 감지 위험도 감소시킨다.
• T-SGX 및 DÉJÀ VU와 같은 기존 방어 조치는 캐시나 DRAM 기반 사이드채널에 대비해 무력하며, 이러한 공격 벡터에 대응하지 못한다.
• 본 연구는 현재의 SGX 보안 연구와 실제 시스템 내 사이드채널 취약성 간의 심각한 격차를 드러내며, 특히 방어 메커니즘 설계 측면에서의 문제점을 명백히 한다.