[논문 리뷰] oo7: Low-overhead Defense against Spectre Attacks via Program Analysis

Guanhua Wang, Sudipta Chattopadhyay외 3명|arXiv (Cornell University)|2018. 07. 16.

Security and Verification in Computing참고 문헌 18인용 수 38

한 줄 요약

oo7는 타인트 분석, 제어 흐름 추출 및 사전 실행 모델링을 통해 바이너리 수준에서 스펙트르 취약 코드 패턴을 탐지하고, 선택적 펜스 명령어 삽입을 통해 공격을 완화하는 바이너리 수준 정적 분석 프레임워크이다. 이는 모든 15개의 표준 스펙트르 리트머스 테스트를 탐지하며, 마이크로소프트의 컴파일러 기반 완화 대비 뛰어난 성능을 보이며, SPECint 벤치마크에서 평균 5.9%의 성능 오버헤드만을 유발한다.

ABSTRACT

The Spectre vulnerability in modern processors has been widely reported. The key insight in this vulnerability is that speculative execution in processors can be misused to access the secrets. Subsequently, even though the speculatively executed instructions are squashed, the secret may linger in micro-architectural states such as cache, and can potentially be accessed by an attacker via side channels. In this paper, we propose oo7, a static analysis approach that can mitigate Spectre attacks by detecting potentially vulnerable code snippets in program binaries and protecting them against the attack by patching them. Our key contribution is to balance the concerns of effectiveness, analysis time and run-time overheads. We employ control flow extraction, taint analysis, and address analysis to detect tainted conditional branches and speculative memory accesses. oo7 can detect all fifteen purpose-built Spectre-vulnerable code patterns, whereas Microsoft compiler with Spectre mitigation option can only detect two of them. We also report the results of a large-scale study on applying oo7 to over 500 program binaries (average binary size 261 KB) from different real-world projects. We protect programs against Spectre attack by selectively inserting fences only at vulnerable conditional branches to prevent speculative execution. Our approach is experimentally observed to incur around 5.9% performance overheads on SPECint benchmarks.

연구 동기 및 목표

• 사전 실행을 악용해 사이드 채널을 통해 기밀 정보를 泄露하는 현대 프로세서의 지속적인 스펙트르 취약성에 대응한다.
• OS나 하드웨어 수정 없이도 취약 바이너리 파일을 탐지하고 패치할 수 있는 확장성 있는 후기 컴파일 솔루션을 개발한다.
• 선택적 펜스 삽입을 통해 스펙트르 변종을 고정밀도로 탐지하면서도 성능 오버헤드를 최소화한다.
• 다양한 알려진 스펙트르 패턴을 놓치는 기존 컴파일러 기반 완화 기법의 한계를 극복한다.
• 소스 코드나 런타임 인스트루멘테이션 없이도 실제 소프트웨어 바이너리에 스펙트르 완화를 실용적으로 구현할 수 있도록 한다.

제안 방법

• 컴파일된 기계어 코드에서 프로그램 구조를 재구성하기 위해 바이너리 수준의 제어 흐름 추출을 수행한다.
• 조건부 분기 및 메모리 접근을 통해 공격자 제어 입력을 전파하기 위해 타인트 분 析를 적용한다.
• 타인트된 분기 이후 고정된 사전 실행 윈도우 내의 명령어를 분석하여 사전 실행을 모델링한다.
• 미세 아키텍처 상태에 기밀 정보가 유출될 수 있는 사전 실행 메모리 접근을 식별하기 위해 주소 분 析를 사용한다.
• 민감한 코드 경로의 사전 실행을 방지하기 위해 취약한 조건부 분기 지점에 펜스 명령어를 삽입한다.
• 오류 없는 탐지를 방지하기 위해 보수적인 가정을 사용하는 BAP(Binary Analysis Platform)를 활용해 정적 분 析를 수행하며, 루프 편집 및 제어 흐름 그래프 구축을 수행한다.

실험 결과

연구 질문

• RQ1 소스 코드 접근 없이도 정적 바이너리 분석 기법이 모든 알려진 스펙트르 취약 코드 패턴을 탐지할 수 있는가?
• RQ2 어떻게 바이너리 분석에서 사전 실행을 정확하게 모델링하여 기밀 정보를 泄露하는 임시 명령어를 식별할 수 있는가?
• RQ3 전체 시스템 또는 컴파일러 수준의 완화 대비, 탐지된 취약 분기 지점에만 펜스 삽입을 적용했을 때의 성능 오버헤드는 얼마인가?
• RQ4 oo7의 탐지 정확도는 마이크로소프트의 스펙트르 완화와 같은 기존 컴파일러 기반 방어 대비 어떻게 비교되는가?
• RQ5 정적 분석이 시스템 수준나 하드웨어 수준의 완화에 적합하지 않은 스펙트르 변종을 어느 정도 탐지할 수 있는가?

주요 결과

• oo7는 모든 15개의 표준 스펙트르 리트머스 테스트 패턴을 성공적으로 탐지하였고, 마이크로소프트의 컴파일러 기반 완화는 이 중 2개만 탐지하였다.
• oo7의 펜스 삽입 평균 성능 오버헤드는 SPECint 벤치마크에서 5.9%로, 낮은 런타임 비용을 입증하였다.
• 500개의 실제 소프트웨어 바이너리(평균 크기 261 KB)를 대상으로 한 대규모 실험에서 oo7는 낮은 거짓 양성률로 취약 코드를 식별하고 패치하였다.
• 패치 이전에는 스펙트르 공격이 성공적으로 수행되었지만, oo7가 생성한 펜스 삽입 이후에는 실패하여 기능 정확성이 확인되었다.
• 시스템 수준 솔루션의 높은 오버헤드나 호환성 문제로 인해 잘 해결되지 않는 여러 스펙트르 변종에 대해 이 방법은 효과적이었다.
• 모든 사용자 입력을 타인트 소스로 간주하고, 루프 편집에 최악의 경우 루프 범위를 사용하는 보수적인 가정을 통해 oo7의 거짓 음성은 최소화되었다.