[논문 리뷰] Store-to-Leak Forwarding: Leaking Data on Meltdown-resistant CPUs (Updated and Extended Version)

Michael Schwarz, Claudio Canella외 2명|arXiv (Cornell University)|2019. 05. 14.

Security and Verification in Computing참고 문헌 69인용 수 7

한 줄 요약

이 논문은 현대적이고 Meltdown에 저항하는 CPU에서도 스토어 버퍼와 TLB를 활용해 커널 및 사용자 공간 메모리 유출을 유도하는 새로운 기법인 Store-to-Leak Forwarding를 통해 Meltdown 유사 사이드 채널 공격이 여전히 가능하다는 것을 입증한다. 이 공격은 42 마이크로초 내에 KASLR을 깨뜨리며, JavaScript 및 Intel SGX 에이클레임에서도 임의의 데이터 유출을 가능하게 하여 소프트웨어 대응 조치가 하드웨어 수정에도 불구하고 여전히 필수적임을 입증한다.

ABSTRACT

Meltdown and Spectre exploit microarchitectural changes the CPU makes during transient out-of-order execution. Using side-channel techniques, these attacks enable leaking arbitrary data from memory. As state-of-the-art software mitigations for Meltdown may incur significant performance overheads, they are only seen as a temporary solution. Thus, software mitigations are disabled on more recent processors, which are not susceptible to Meltdown anymore. In this paper, we show that Meltdown-like attacks are still possible on recent CPUs which are not vulnerable to the original Meltdown attack. We show that the store buffer - a microarchitectural optimization to reduce the latency for data stores - in combination with the TLB enables powerful attacks. We present several ASLRrelated attacks, including a KASLR break from unprivileged applications, and breaking ASLR from JavaScript. We can also mount side-channel attacks, breaking the atomicity of TSX, and monitoring control flow of the kernel. Furthermore, when combined with a simple Spectre gadget, we can leak arbitrary data from memory. Our paper shows that Meltdown-like attacks are still possible, and software fixes are still necessary to ensure proper isolation between the kernel and user space. This updated extended version of the original paper includes new results and explanations on the root cause of the vulnerability and shows how it is different to MDS attacks like Fallout.

연구 동기 및 목표

• 패ッチ 처리된 CPU에서 원래 Meltdown 취약성에 대비해 보완된 시스템에서도 Meltdown 유사 공격이 여전히 가능할지 조사하기.
• 스토어 버퍼의 마이크로아ーキ테크처적 측면과 그가 TLB와 상호작용하여 데이터 유출을 유도하는 방식 분석하기.
• 이러한 사이드 채널을 실제 공격으로 구현하여 커널 ASLR를 깨고 격리 메커니즘을 우회하는 것 입증하기.
• 이러한 새로운 공격 벡터에 대비해 기존 소프트웨어 대응 조치(예: KAISER)의 효과성 평가하기.
• 하드웨어 수정이 있더라도 사용자 공간과 커널 공간 간 소프트웨어 기반 격리가 여전히 필요함을 보여주기.

제안 방법

• 스토어 버퍼 내의 스토어-로드 포워딩을 악용해 데이터 유출을 위한 은밀한 채널 생성하기.
• 스토어 버퍼 동작과 TLB 상태 변화를 조합하여 메타데이터를 유출하고 TSX의 원자성을 무너뜨리기.
• 특수 실행과 기존의 Spectre v1 가젯을 활용해 데이터 유출를 유도하고 증폭하기.
• 마이크로아ーキ테크처 상태 변화를 측정하고 비밀 값을 유추하기 위해 사이드 채널 타이밍 공격 설계하기.
• 비권한 사용자 애플리케이션과 JavaScript에서 공격을 구현하여 실제 세계 적용 가능성 입증하기.
• 이 공격을 Meltdown에 저항하는 것으로 간주되는 최신 인텔 CPU(예: 웨이스키 레이크, 코ffee 레이크)에서 검증하기.

실험 결과

연구 질문

• RQ1 원래 Meltdown 취약성에 대비해 보안으로 간주되는 CPU에서도 Meltdown 유사 공격이 여전히 수행될 수 있는가?
• RQ2 특수 실행 외에 어떤 마이크로아키텍처 구성 요소가 새로운 사이드 채널을 가능하게 하는가?
• RQ3 스토어 버퍼와 TLB를 얼마나 활용해 커널 및 사용자 공간 메모리를 유출할 수 있는가?
• RQ4 이 기법을 사용해 KASLR과 ASLR를 실용적인 시간 내에 깰 수 있는가?
• RQ5 기존의 소프트웨어 대응 조치(예: KAISER)가 이러한 공격을 방지하는 데 충분한가?

주요 결과

• 이 공격은 완전히 패치 처리된 인텔 CPU에서 단 42 마이크로초 내에 KASLR을 깨뜨려 매우 효율적인 사이드 채널임을 입증한다.
• 연구진은 비권한 사용자 애플리케이션에서 Store-to-Leak Forwarding 메커니즘을 활용해 커널 메모리 유출에 성공했다.
• 이 공격은 JavaScript에서 ASLR를 깰 수 있어 웹 기반 격리에 심각한 위협이 됨을 보여준다.
• 이 기법은 커널 제어 흐름을 모니터링하고 인텔의 TSX(전체 스토어 버퍼) 트랜잭션의 원자성도 깰 수 있다.
• Spectre v1 가젯과 결합하면 실제이고 실용적인 환경에서 임의의 커널 메모리가 유출될 수 있다.
• 이 연구는 Meltdown에 대한 하드웨어 수정만으로는 부족하며, 보안을 위해 소프트웨어 기반 격리가 여전히 필수적임을 입증한다.