[논문 리뷰] The Spy in the Sandbox -- Practical Cache Attacks in Javascript

Yossi Oren, Vasileios P. Kemerlis외 2명|arXiv (Cornell University)|2015. 02. 25.

Security and Verification in Computing참고 문헌 19인용 수 44

한 줄 요약

이 논문은 로컬 코드 실행 없이 JavaScript를 활용해 캐시 공격을 수행할 수 있는 실용적인 브라우저 기반 마이크로아키텍처 사이드 채널 공격을 처음으로 제시한다. 고해상도 타이머와 JavaScript 내부의 메모리 접근 패턴을 활용하여, 사용자 프로세스, 사용자, 가상 머신 간의 사용자 행동을 추론하기 위해 최종 레벨 캐시(LLC) 접근을 추적한다. 이는 최소한의 공격자 요구 조건으로도 실제 웹 환경에서 실현 가능함을 입증한다.

ABSTRACT

We present the first micro-architectural side-channel attack which runs entirely in the browser. In contrast to other works in this genre, this attack does not require the attacker to install any software on the victim's machine -- to facilitate the attack, the victim needs only to browse to an untrusted webpage with attacker-controlled content. This makes the attack model highly scalable and extremely relevant and practical to today's web, especially since most desktop browsers currently accessing the Internet are vulnerable to this attack. Our attack, which is an extension of the last-level cache attacks of Yarom et al., allows a remote adversary recover information belonging to other processes, other users and even other virtual machines running on the same physical host as the victim web browser. We describe the fundamentals behind our attack, evaluate its performance using a high bandwidth covert channel and finally use it to construct a system-wide mouse/network activity logger. Defending against this attack is possible, but the required countermeasures can exact an impractical cost on other benign uses of the web browser and of the computer.

연구 동기 및 목표

• 마이크로아키텍처 사이드 채널 공격이 로컬 코드 실행 없이도 브라우저 내부에서 완전히 실행될 수 있음을 입증하는 것.
• 이러한 공격이 실용적이고 확장 가능하여, 신뢰할 수 없는 웹 페이지를 통해 수백만 명의 사용자를 대상으로 할 수 있음을 보여주는 것.
• 현대 Intel CPU에서 JavaScript를 활용해 최종 레벨 캐시(LLC) 접근 패턴을 모니터링하여 행동 추적 가능성을 탐색하는 것.
• 타이머 해상도 차이 등 실제 브라우저 제약 조건 하에서 공격의 성능와 한계를 평가하는 것.
• 합법적인 웹 애플리케이션 성능을 저하시키지 않으면서 이러한 공격을 방어하는 것이 가능한지 평가하는 것.

제안 방법

• 현대 Intel CPU의 포함 캐시 계층 구조를 활용하여 L1 및 L2 캐시가 L3(최종 레벨) 캐시의 부분 집합임을 이용한다.
• 고속 메모리 접근 패턴을 JavaScript로 수행하여 캐시 히트 및 미스를 유도하고, 고해상도 타이머를 통해 이를 모니터링한다.
• 물리적 메모리 주소를 캐시 세트에 매핑하기 위해 주소의 하위 12비트를 사용하여 정확한 캐시 세트 추적을 가능하게 한다.
• 캐시 히트와 미스 간의 감지 가능한 차이를 증폭하기 위해 캐시 접근 타이밍 기반의 은밀한 채널을 활용한다.
• 타이머 해상도가 낮은 시스템을 대상으로는 메모리 접근 사이클을 반복하고 다수의 캐시 세트 미스를 활용하여 공격을 적응시킨다.
• 런타임 히وري스틱 기반으로 JavaScript 실행에서 프로파일링 유사 행동을 탐지하고, 공격 패턴을 식별 및 잠재적으로 차단할 수 있다.

실험 결과

연구 질문

• RQ1 JavaScript만을 사용하여 브라우저 내부에서 마이크로아키텍처 사이드 채널 공격을 효과적으로 수행할 수 있는가?
• RQ2 타이머 해상도 및 브라우저 호환성 측면에서 이러한 공격의 실용적 한계는 무엇인가?
• RQ3 이 공격이 프로세스, 사용자 또는 가상 머신 간의 사용자 행동 추적에 얼마나 효과적으로 활용될 수 있는가?
• RQ4 다양한 브라우저와 운영체제에서 타이머 해상도의 차이가 공격 성능에 어떻게 영향을 미치는가?
• RQ5 가능한 대응 조치는 무엇이며, 이러한 조치가 합법적인 웹 애플리케이션 성능에 어떤 상충 관계를 초래하는가?

주요 결과

• 공격은 JavaScript만을 사용하여 브라우저 내부에서 완전히 실행되며, 클라이언트 소프트웨어 설치가 전혀 필요하지 않다.
• 포함 캐시 계층을 가진 현대 Intel CPU에서 효과적으로 작동하여 원격으로 캐시 접근 패턴을 모니터링할 수 있다.
• 성능 평가 결과, 마이크로초 수준의 타이머 해상도에서도 캐시 접근 패턴을 신뢰성 있게 탐지할 수 있음이 입증되었다.
• 공격은 확장 가능하며 광고와 같은 신뢰할 수 없는 웹 콘텐츠를 통해 수백만 명의 사용자를 대상으로 배포할 수 있다.
• 마우스 이동 및 네트워크 활동과 같은 시스템 전반의 사용자 활동을 캐시 접근 패턴 관찰을 통해 전역적으로 추적할 수 있다.
• 타이머 해상도를 낮추거나 잡음을 도입하는 등의 대응 조치는 가능하지만, 이는 합법적인 웹 애플리케이션의 성능을 저하시킬 수 있다.