[논문 리뷰] SpyHammer: Understanding and Exploiting RowHammer under Fine-Grained Temperature Variations

Lois Orosa, Ulrich Rührmair외 8명|arXiv (Cornell University)|2022. 10. 08.

Physical Unclonable Functions (PUFs) and Hardware Security인용 수 13

한 줄 요약

SpyHammer는 DRAM 온도를 원격으로 추론할 수 있는 실용적인 RowHammer 기반 사이드채널 공격의 첫 사례로, RowHammer 유도 비트 오류율과 온도 간의 상관관계를 활용한다. 시스템 수정 없이도 사전 지식 없이 메모리 액세스 패턴만으로 ±2.5°C 이내의 절대 온도 추정과 ±3.5°C 이내의 상대 온도 변화 추정을 달성한다.

ABSTRACT

RowHammer is a DRAM vulnerability that can cause bit errors in a victim DRAM row solely by accessing its neighboring DRAM rows at a high-enough rate. Recent studies demonstrate that new DRAM devices are becoming increasingly vulnerable to RowHammer, and many works demonstrate system-level attacks for privilege escalation or information leakage. In this work, we perform the first rigorous fine-grained characterization and analysis of the correlation between RowHammer and temperature. We show that RowHammer is very sensitive to temperature variations, even if the variations are very small (e.g., $\pm 1$ °C). We leverage two key observations from our analysis to spy on DRAM temperature: 1) RowHammer-induced bit error rate consistently increases (or decreases) as the temperature increases, and 2) some DRAM cells that are vulnerable to RowHammer exhibit bit errors only at a particular temperature. Based on these observations, we propose a new RowHammer attack, called SpyHammer, that spies on the temperature of DRAM on critical systems such as industrial production lines, vehicles, and medical systems. SpyHammer is the first practical attack that can spy on DRAM temperature. Our evaluation in a controlled environment shows that SpyHammer can infer the temperature of the victim DRAM modules with an error of less than $\pm 2.5$ °C at the 90th percentile of all tested temperatures, for 12 real DRAM modules (120 DRAM chips) from four main manufacturers.

연구 동기 및 목표

• 미세한(1°C 간격) 온도 변화에서 현대 DRAM 칩의 RowHammer 비트 오류율과 온도 간의 관계를 조사한다.
• 하드웨어나 소프트웨어 수정 없이 메모리 액세스 패턴만으로 DRAM 비트 플립으로부터 온도를 추론할 수 있는 원격 사이드채널 공격을 개발한다.
• 산업 기계, 차량, 의료 기기와 같은 핵심 시스템에서 절대 및 상대 온도 모니터링을 가능하게 한다.
• 특정 온도에서만 플립하는 '캐나리 셀'을 식별하여 공격 비용을 줄인다.
• 네 대표 제조업체에서 온 12개의 실제 DRAM 모듈을 대상으로 공격의 타당성과 정확도를 평가한다.

제안 방법

• RowHammer 유도 비트 오류율(BER)이 온도 변화에 따라 일관되게 증가하거나 감소함을 관찰하여 온도 추론이 가능함을 활용한다.
• 공격 유형을 두 가지로 제안: 하나는 피해자의 사전 특성 분석 없이 상대 온도 변화를 추론하는 것, 다른 하나는 피해자 DRAM 모듈의 사전 특성 분석이 있는 절대 온도 추론이다.
• 알려진 온도 프로파일을 가진 DRAM 모듈을 기반으로 다항 회귀 모델을 구축하여 BER를 온도로 매핑한다.
• 공격 비용을 줄이기 위해 등록 단계에서 특정 온도에서만 플립하는 '캐나리 셀'을 식별한다.
• 물리적 접근 없이 원격 RowHammer 기법을 사용해 피해자 DRAM 모듈을 역공학적으로 분석함으로써 상대 온도 모니터링을 가능하게 한다.
• 실제 환경 조건에서 공격를 검증하기 위해 120개의 DRAM 칩을 12개의 모듈에 대해 1°C 간격의 온도 단계에서 통제 실험을 수행한다.

실험 결과

연구 질문

• RQ1 현대 DRAM 칩에서 RowHammer 비트 오류율은 미세한 온도 변화(1°C 간격)와 신뢰성 있게 상관관계가 있는가?
• RQ2 시스템 수정 없이 메모리 액세스 패턴만으로 절대 또는 상대 DRAM 온도를 추론할 수 있는가?
• RQ3 다양한 제조사에서 온 여러 DRAM 모듈을 대상으로 RowHammer 유도 비트 플립을 활용한 온도 추론의 정확도는 어느 정도인가?
• RQ4 특정 온도에서만 플립하는 셀(캐나리 셀)에 초점을 맞춰 공격 비용을 줄일 수 있는가?
• RQ5 실제 핵심 시스템에서 이러한 공격의 실용적 제약 조건과 오차 범위는 무엇인가?

주요 결과

• SpyHammer는 테스트된 12개의 모든 DRAM 모듈에서 90번째 백분율 기준으로 ±2.5°C 이내의 절대 온도 추정 오차를 달성한다.
• 사전 피해자 특성 분석 없이 상대 온도 변화를 추론할 경우, SpyHammer는 ±3.5°C 이내의 오차를 기록한다.
• 동일한 모델의 DRAM 모듈 간에 BER과 온도 간의 상관관계가 일관되므로, 서로 다른 시스템 간의 상대 온도 모니터링이 가능하다.
• 83%의 테스트된 DRAM 모듈에서 특정 온도에서만 플립하는 '캐나리 셀'을 식별하여 더 적은 메모리 액세스로 효율적인 온도 모니터링이 가능하다.
• 공격는 DRAM 리프레시를 비활성화하지 않으며 다른 프로세스의 데이터를 손상시키지 않아, 생산 환경에서 도구의 침투성과 실용성을 확보한다.
• 이 방법은 네 대표 제조업체에서 온 12개의 실제 DRAM 모듈에서 효과적으로 작동하여 광범위한 적용 가능성과 높은 내구성을 입증한다.