[논문 리뷰] SgxPectre Attacks: Leaking Enclave Secrets via Speculative Execution.

Guoxing Chen, Sanchuan Chen외 4명|arXiv (Cornell University)|2018. 02. 25.

Security and Verification in Computing참고 문헌 61인용 수 85

한 줄 요약

이 논문은 CPU의 사전 실행 취약점을 악용하여 Intel SGX 에이전드에서 기밀 정보를 泄露하는 SgxPectre 공격을 제안한다. 외부 프로그램을 통해 분기 예측을 조작함으로써 공격자는 사전 실행을 유도하여 제어 흐름을 변경하고, 이로 인해 발생하는 캐시 상태 변화를 관찰함으로써 에이전드 메모리나 레지스터 내용을 泄露할 수 있다. 이는 일반적인 런타임 환경에서 SGX의 기밀성 보장을 파괴한다.

ABSTRACT

This paper presents SgxPectre Attacks that exploit the recently disclosed CPU bugs to subvert the confidentiality of SGX enclaves. Particularly, we show that when branch prediction of the enclave code can be influenced by programs outside the enclave, the control flow of the enclave program can be temporarily altered to execute instructions that lead to observable cache-state changes. An adversary observing such changes can learn secrets inside the enclave memory or its internal registers, thus completely defeating the confidentiality guarantee offered by SGX. To demonstrate the practicality of our SgxPectre Attacks, we have systematically explored the possible attack vectors of branch target injection, approaches to win the race condition during enclave's speculative execution, and techniques to automatically search for code patterns required for launching the attacks. Our study suggests that any enclave program could be vulnerable to SgxPectre Attacks since the desired code patterns are available in most SGX runtimes (e.g., Intel SGX SDK, Rust-SGX, and Graphene-SGX).

연구 동기 및 목표

• 사전 실행 취약점이 Intel SGX 에이전드의 기밀성 보장을 약화시킬 수 있는지 조사하기.
• 외부 프로그램이 에이전드의 분기 예측에 영향을 주고 사전 실행을 유도할 수 있는 실용적인 공격 벡터를 특정하기.
• 에이전드 환경에서 사전 실행 동안 발생하는 레이스 조건을 승리하기 위한 기법 개발하기.
• 사전 실행을 통해 캐시 사이드 채널을 통한 기밀 정보 泄露를 가능하게 하는 SGX 런타임 내에서의 공격 가능한 코드 패턴을 자동으로 탐지하기.
• Intel SGX SDK, Rust-SGX, Graphene-SGX를 포함한 기존 SGX 런타임의 취약성 범위 평가하기.

제안 방법

• SGX 에이전드 내에서 사전 실행을 유도하기 위해 분기 대상 주입을 활용하여 분기 예측기를 조작하기.
• 사전 실행 중 캐시 상태 변화를 신뢰성 있게 관찰하기 위해 레이스 조건 기법 설계하기.
• 캐시 사이드 채널을 통해 기밀 정보를 泄露할 수 있는 코드 패턴을 SGX 런타임에서 자동으로 탐색하기.
• 외부 프로그램을 사용하여 분기 예측기를 제어하고, 민감한 데이터에 접근하는 사전 실행 경로를 유도하기.
• 사이드 채널 분석을 통해 캐시 상태 변화를 모니터링하여 에이전드 메모리나 레지스터에서 기밀 정보를 추출하기.
• 다양한 SGX 런타임에서 공격의 실현 가능성을 검증하여 광범위한 영향 평가하기.

실험 결과

연구 질문

• RQ1 에이전드의 격리 보장을 고려할지라도, 사전 실행 취약점이 SGX 에이전드에서 기밀 정보를 泄露하는 데 악용될 수 있는가?
• RQ2 SGX 런타임 내에서 어떤 특정 코드 패턴이 사전 실행을 통해 관찰 가능한 사이드 채널 유출을 초래하는가?
• RQ3 외부 프로그램은 어떻게 에이전드의 분기 예측에 영향을 주어 제어 가능한 결과를 얻는 사전 실행을 유도할 수 있는가?
• RQ4 사전 실행과 실제 실행 간의 레이스 조건에서 승리하기 위해 어떤 기법을 사용할 수 있는가?
• RQ5 기존의 SGX 런타임은 이러한 사전 실행 사이드 채널 공격에 얼마나 취약한가?

주요 결과

• 공통적인 SGX 런타임 내에 존재하는 공격 가능한 코드 패턴로 인해, 어떤 에이전드 프로그램도 SgxPectre 공격에 취약할 수 있다.
• Intel SGX SDK, Rust-SGX, Graphene-SGX 모두 사전 실행으로 인해 캐시 사이드 채널 유출을 유도할 수 있는 코드 패턴을 포함하고 있다.
• 외부 프로그램에서의 분기 대상 주입은 사전 실행 중 에이전드 제어 흐름을 성공적으로 조작할 수 있다.
• 사전 실행으로 인해 유도된 캐시 상태 변화는 관찰 가능하며, 이는 에이전드 메모리나 레지스터에서 기밀 정보를 추출하는 데 사용될 수 있다.
• 공격는 실용적이며, 하드웨어 수정이나 표준 사용자 수준 실행을 초월한 특권 접근 권한이 필요하지 않다.
• 이 연구는 사전 실행 사이드 채널이 SGX 에이전드의 기밀성 보장을 완전히 무너뜨릴 수 있음을 확인한다.