[논문 리뷰] Software Grand Exposure: SGX Cache Attacks Are Practical

Ferdinand Brasser, Urs Müller외 4명|arXiv (Cornell University)|2017. 02. 24.

Security and Verification in Computing참고 문헌 40인용 수 241

한 줄 요약

본 논문은 SGX enclaves에 대한 실용적인 캐시 기반 사이드 채널 공격을 시연하고, 공격자가 enclaves 실행을 중단하지 않고도 상당한 비밀 정보를 추출할 수 있음을 보여준다. 이는 RSA-2048 키의 70%를 포함하고 게놈 서열의 탐지를 포함한다.

ABSTRACT

Side-channel information leakage is a known limitation of SGX. Researchers have demonstrated that secret-dependent information can be extracted from enclave execution through page-fault access patterns. Consequently, various recent research efforts are actively seeking countermeasures to SGX side-channel attacks. It is widely assumed that SGX may be vulnerable to other side channels, such as cache access pattern monitoring, as well. However, prior to our work, the practicality and the extent of such information leakage was not studied. In this paper we demonstrate that cache-based attacks are indeed a serious threat to the confidentiality of SGX-protected programs. Our goal was to design an attack that is hard to mitigate using known defenses, and therefore we mount our attack without interrupting enclave execution. This approach has major technical challenges, since the existing cache monitoring techniques experience significant noise if the victim process is not interrupted. We designed and implemented novel attack techniques to reduce this noise by leveraging the capabilities of the privileged adversary. Our attacks are able to recover confidential information from SGX enclaves, which we illustrate in two example cases: extraction of an entire RSA-2048 key during RSA decryption, and detection of specific human genome sequences during genomic indexing. We show that our attacks are more effective than previous cache attacks and harder to mitigate than previous SGX side-channel attacks.

연구 동기 및 목표

• OS가 손상된 현실적인 공격자 모델에서 SGX enclaves가 캐시 기반 사이드 채널 공격에 취약하다는 것을 보여준다.
• SGX에서 공격 중지 없이 효과적인 Prime+Probe 캐시 공격을 수행하는 방법을 시연한다.
• SGX 내에서의 암호 연산 및 비암호 워크로드(게놈 인덱싱)로부터의 정보 누출을 정량화한다.
• 현재 방어책을 평가하고 제시된 공격을 완전히 완화하지 못하는 이유를 논의한다.

제안 방법

• 노이즈를 최소화하기 위해 공격자와 대상자를 전용 코어에서 실행하도록 하여 SGX에 Prime+Probe 캐시 사이드 채널 기법을 적용한다.
• PMCs(Performance Monitoring Counters)를 사용하여 캐시 라인 제거를 탐지하고, enclaves 측 PMC 제한을 우회한다.
• OS 스케줄링을 수정하고 인터럽트를 줄여 공격 코어를 격리시켜 엔클레이브 실행의 중단 없이 유지한다.
• 고주파로 캐시 라인 제거를 모니터링하고 여러 에폭 간의 결과를 정렬해 대상의 접근 패턴을 재구성한다.
• RSA 디크립션 및 게놈 인덱싱 워크플로우에 공격을 적용해 암호학적 및 비암호학적 누출을 시연한다.

실험 결과

연구 질문

• RQ1 SGX enclaves가 엔클레이브 실행을 중단하지 않고도 캐시 접근 패턴을 통해 비밀 의존 정보를 누출할 수 있는가?
• RQ2 암호학적(RSA) 및 비암호학적(게놈 인덱싱) SGX 워크로드에서 캐시 기반 누출의 현실 가능성과 범위는 어느 정도인가?
• RQ3 인터럽트를 발생시키지 않는 SGX 캐시 공격에 대해 기존 방어책은 어떤 성능을 보이는가?

주요 결과

• SGX에 대한 캐시 공격은 실용적이며 엔클레이브 실행을 중단하지 않고도 의미 있는 비밀 정보를 추출할 수 있다.
• RSA 디크립션에서 공격은 300번의 반복 디크립션 및 10개의 모니터링된 승수에서 2048비트 키의 70%를 회수했다.
• RSA 공격은 사전 계산된 승수의 모니터링을 활용하며, 에폭 내에서 각 승수에 대해 16회의 반복 접근을 관찰하면 후보를 식별할 수 있다.
• 게놈 인덱싱 워크로드의 경우, 공격자는 게놈 의존 해시 테이블 접근을 관찰함으로써 마이크로새터이트(microsatellite) 서열을 탐지할 수 있다.
• 현재 방어책인 T-SGX 및 Déjá Vu는 실제로 제시된 비인터럽트형 캐시 공격을 완화하지 못한다는 점이 확인된다.
• 공격은 기존의 SGX 캐시 기반 공격보다 효과적이며 일부 이전 SGX 사이드 채널 접근 방식보다 완화하기 어렵다.