[논문 리뷰] SoftTRR: Protect Page Tables Against RowHammer Attacks using Software-only Target Row Refresh

Zhang Zhi, Yueqiang Cheng외 8명|arXiv (Cornell University)|2021. 02. 20.

Security and Verification in Computing참고 문헌 31인용 수 13

한 줄 요약

SoftTRR는 커널이 관리하는 메모리 추적을 통해 x86 시스템 페이지 테이블을 레이어링 공격으로부터 보호하는 소프트웨어 전용 방어 기법이다. 페이지 테이블 행 주변의 이례적인 메모리 접근 패턴을 감지하고, 이를 기반으로 타겟 행 새로 고침을 유도한다. 기존 가상 메모리 메커니즘만을 활용하여 모든 알려진 커널 특권 승격 공격을 효과적으로 완화하며, 성능 및 메모리 오버헤드가 극히 낮다.

ABSTRACT

Rowhammer attacks that corrupt level-1 page tables to gain kernel privilege are the most detrimental to system security and hard to mitigate. However, recently proposed software-only mitigations are not effective against such kernel privilege escalation attacks. In this paper, we propose an effective and practical software-only defense, called SoftTRR, to protect page tables from all existing rowhammer attacks on x86. The key idea of SoftTRR is to refresh the rows occupied by page tables when a suspicious rowhammer activity is detected. SoftTRR is motivated by DRAM-chip-based target row refresh (ChipTRR) but eliminates its main security limitation (i.e., ChipTRR tracks a limited number of rows and thus can be bypassed by many-sided hammer). Specifically, SoftTRR protects an unlimited number of page tables by tracking memory accesses to the rows that are in close proximity to page-table rows and refreshing the page-table rows once the tracked access count exceeds a pre-defined threshold. We implement a prototype of SoftTRR as a loadable kernel module, and evaluate its security effectiveness, performance overhead, and memory consumption. The experimental results show that SoftTRR protects page tables from real-world rowhammer attacks and incurs small performance overhead as well as memory cost.

연구 동기 및 목표

• 레벨-1 페이지 테이블의 레이어링으로 인한 손상이 커널 특권 승격을 가능하게 하는 심각한 보안 위협을 해결하기 위해.
• 커널 수정 없이도 일반 하드웨어에서 작동하는 소프트웨어 전용 방어 기법을 설계하여 이전 소프트웨어 방어의 한계를 극복하기 위해.
• CATT, CTA, ZebRAM 등의 기존 소프트웨어 방어를 우회하는 공격을 포함해 모든 알려진 레이어링 기반 커널 특권 승격 공격을 방어하기 위해.
• 하드웨어 특화 기능에 의존하지 않으면서도 높은 효과성과 낮은 오버헤드를 유지하기 위해.
• DDR3 및 DDR4 메모리 장치를 사용하는 다양한 리눅스 시스템에서 실제 배포 환경에서도 호환성과 안정성을 확보하기 위해.

제안 방법

• SoftTRR는 페이지 테이블 행 주변의 행에 대한 메모리 접근을 추적하기 위해 커널의 MMU와 페이지 테이블 관리 기능을 활용하며, 리프 페이지 테이블 엔트리의 예약된 비트(rsrv)를 설정한다.
• 이웃 행에 대한 접근 횟수를 모니터링하고, 이 수가 사전 정의된 임계값을 초과할 경우 해당 페이지 테이블 행의 새로 고침을 트리거한다.
• 이 메커니즘은 이웃 행에서 이례적인 힘주기 활동이 감지될 경우에만 작동하여 타겟화되고 효율적인 새로 고침을 보장한다.
• 기존 가상 메모리 인프라를 활용함으로써 커널 수정이 필요 없도록 하며, SoftTRR를 로드 가능한 커널 모듈로 구현함으로써 이를 달성한다.
• 공격자 행으로부터 최대 6행 떨어진 페이지 테이블 행까지 보호할 수 있도록 지원하여, 이전 방어 기법이 1행 거리만을 가정한 한계를 극복한다.
• 페이지 테이블 엔트리의 present 비트에 대한 활성 검사를 통해 레이어링 공격을 암시하는 접근 패턴을 탐지하고 대응한다.

실험 결과

연구 질문

• RQ1 소프트웨어 전용 방어 기법이 x86 아키텍처에서 모든 알려진 레이어링 기반 커널 특권 승격 공격을 효과적으로 방어할 수 있는가?
• RQ2 하드웨어 기반 타겟 행 새로 고침(예: ChipTRR)이 다방향 힘주기 공격에서 실패하는 상황을 고려할 때, 소프트웨어 방어는 이를 어떻게 극복할 수 있는가?
• RQ3 기존 가상 메모리 메커니즘만을 사용하여 커널 수정 없이도 효과적인 레이어링 완화가 가능할 수 있는가?
• RQ4 실제 워크로드에서 이러한 방어 기법의 성능 및 메모리 오버헤드는 어느 정도인가?
• RQ5 이 방어 기법을 고수준 페이지 테이블이나 기타 민감한 데이터 구조로 확장할 수 있는가?

주요 결과

• SoftTRR는 CATT, CTA, ZebRAM 등의 기존 소프트웨어 방어를 우회하는 공격을 포함해 모든 테스트된 커널 특권 승격 공격을 성공적으로 방어했다.
• 스트레스 테스트에서 리눅스 테스트 프로젝트(LTP)를 사용했을 때 성능 오버헤드가 거의 없었으며, 측정 가능한 변동이 없었다.
• 페이지 테이블 주변의 제한된 수의 행에 대한 접근 횟수만 추적하기 때문에 메모리 소비가 낮게 유지되었다.
• 장기적인 벤치마크 및 실제 워크로드 동안 시스템의 안정성이 유지되었으며, 충돌이나 이상 현상은 관찰되지 않았다.
• 로드 가능한 커널 모듈로 구현된 프로토타입은 DDR3 및 DDR4 메모리 모듈을 사용하는 일반 리눅스 시스템과 호환되었다.
• SoftTRR의 설계는 확장 가능하며, 추적 및 새로 고침 로직을 확장함으로써 고수준 페이지 테이블이나 기타 민감한 데이터 구조를 보호하는 데 적용할 수 있다.