[논문 리뷰] The RowHammer Problem and Other Issues We May Face as Memory Becomes Denser

Onur Mutlu|arXiv (Cornell University)|2017. 03. 02.

Advanced Memory and Neural Computing참고 문헌 63인용 수 14

한 줄 요약

이 논문은 반복적인 행 액세스 중 세포 간 간섭으로 인해 발생하는 DRAM의 핵심 하드웨어 유도 보안 취약성인 RowHammer를 규명하며, 사용자 수준의 악용을 통해 권한 상승 및 시스템 장악이 가능하다는 점을 입증한다. 향후 메모리 기술이 더 높은 밀도로 확장됨에 따라 이러한 취약성을 사전에 인지하고 방지하기 위해 시스템-메모리 공동 설계와 체계적인 실패 모델링이 필요하다고 주장한다.

ABSTRACT

As memory scales down to smaller technology nodes, new failure mechanisms emerge that threaten its correct operation. If such failure mechanisms are not anticipated and corrected, they can not only degrade system reliability and availability but also, perhaps even more importantly, open up security vulnerabilities: a malicious attacker can exploit the exposed failure mechanism to take over the entire system. As such, new failure mechanisms in memory can become practical and significant threats to system security. In this work, we discuss the RowHammer problem in DRAM, which is a prime (and perhaps the first) example of how a circuit-level failure mechanism in DRAM can cause a practical and widespread system security vulnerability. RowHammer, as it is popularly referred to, is the phenomenon that repeatedly accessing a row in a modern DRAM chip causes bit flips in physically-adjacent rows at consistently predictable bit locations. It is caused by a hardware failure mechanism called DRAM disturbance errors, which is a manifestation of circuit-level cell-to-cell interference in a scaled memory technology. We analyze the root causes of the RowHammer problem and examine various solutions. We also discuss what other vulnerabilities may be lurking in DRAM and other types of memories, e.g., NAND flash memory or Phase Change Memory, that can potentially threaten the foundations of secure systems, as the memory technologies scale to higher densities. We conclude by describing and advocating a principled approach to memory reliability and security research that can enable us to better anticipate and prevent such vulnerabilities.

연구 동기 및 목표

• 회로 수준의 DRAM 고장이 실제 시스템 전반의 보안 공격으로 이어질 수 있음을 보여주는 주요 사례로 RowHammer 취약성을 분석하는 것.
• RowHammer의 근본 원인, 즉 DRAM의 방해 오류와 인접 행 간의 물리적 간섭을 조사하는 것.
• 2008~2014년 동안의 129개의 DRAM 모듈을 대상으로 실세계에서의 보편성과 심각성을 평가하여 광범위한 취약성이 있음을 보여주는 것.
• 향후 더 높은 밀도로 확장될 때 보안 위험을 초래할 수 있는 NAND 플래시 및 프래즈 체인지 메모리와 같은 다른 메모리 기술에서 유사한 실패 메커니즘을 탐색하는 것.
• 향후 출시되는 시스템에서 발생할 수 있는 새로운 하드웨어 취약성을 사전에 인지하고 완화하기 위한 체계적인 아키텍처 및 설계 접근법을 수립하는 것.

제안 방법

• 세 가지 주요 제조사의 129개의 일반 소비용 DRAM 모듈을 대상으로 FPGA 기반 실험용 DRAM 테스트 인프라를 구축하여 RowHammer 행동을 체계적으로 탐색하고 측정한 바.
• 한 번의 리프레시 간격 내에서 반복적인 액세스 및 프리차지 사이클을 통해 인접한 행에 있는 비트 플립 현상을 관찰하기 위해 통제된 행 히터링 실험을 수행한 바.
• 다양한 DRAM 세대(2008~2014년)의 실패 패턴을 분석하여, 테스트된 2012~2013년 모듈 전부가 RowHammer에 취약하다는 것을 규명한 바.
• 시스템-메모리 공동 설계를 핵심 방법론으로 제안하며, 고장 유도 취약성을 탐지, 수정 또는 방지하기 위해 지능형 메모리 컨트롤러와 아키텍처 수준 메커니즘을 통합한 바.
• 소규모 장치 테스트 및 대규모 현장 운영에서의 실질적 실험 데이터를 활용한 실패 모델링 및 예측을 통해 향후 설계를 이끄는 것을 주장한 바.
• 아키텍처 및 시스템 수준의 신뢰성 메커니즘과 통합된 설계, 자동화 및 테스트 방법론을 촉진하여 포괄적인 실패 커버리지 확보를 위한 바.

실험 결과

연구 질문

• RQ1 현대 DRAM에서 RowHammer 취약성의 근본 원인은 무엇이며, 이는 회로 수준에서 어떻게 나타나는가?
• RQ2 RowHammer 취약성은 다양한 DRAM 모듈과 제조 시대에 얼마나 광범위하게 퍼져 있는가?
• RQ3 사용자 수준의 프로그램이 RowHammer을 악용하여 실세계 시스템에서 권한 상승 또는 시스템 장악을 달성할 수 있는가?
• RQ4 NAND 플래시나 프래즈 체인지 메모리와 같은 다른 메모리 기술은 높은 밀도로 확장될 때 유사한 하드웨어 유도 보안 취약성을 보일 수 있는가?
• RQ5 앞으로 생산 시스템에 등장하기 전에 이러한 취약성을 사전에 인지하고 방지하기 위해 어떤 체계적인 아키텍처 및 설계 방법론을 개발할 수 있는가?

주요 결과

• 테스트한 129개의 DRAM 모듈 중 110개(2008~2014년)에서 RowHammer로 인한 비트 플립가 발생했으며, 2012~2013년 모듈 전부가 취약했다.
• RowHammer는 실재하며 광범위한 취약성으로, 구글 프로젝트 제로 연구원들이 사용자 수준 코드만으로 커널 권한 상승을 성공적으로 시연한 바 있다.
• 이 취약성은 소프트웨어 버그나 설정 오류가 아니라, 스케일링으로 인한 세포 간 간섭으로 인한 DRAM 방해 오류에서 기인한다.
• 현상은 예측 가능하고 일관되며, 반복적인 행 액세스 후 특정한, 재현 가능한 위치에서 인접한 행에 비트 플립이 발생한다.
• RowHammer는 원격 서버 장악, VM 탈출, 권한 없이도 모바일 기기 해킹 등 여러 실세계 공격 시나리오에서 악용된 바 있다.
• 논문은 실질적인 시스템 및 메모리 아키텍처의 공동 설계가 향후 현장에서 악용 가능한 취약성이 발생하기 전에 이를 사전에 인지하고 방지하기 위해 필수적이라고 결론 내린다.