[논문 리뷰] Towards a Better Indicator for Cache Timing Channels

Fan Yao, Hongyu Fang외 2명|arXiv (Cornell University)|2019. 02. 13.

Security and Verification in Computing참고 문헌 26인용 수 5

한 줄 요약

이 논문은 캐시 미스 패턴보다 캐시 점유도를 더 견고한 지표로 제안하여 캐시 타이밍 채널을 탐지한다. 위협적인 프로세스 간의 쌍별 캐시 점유도 패턴을 분석함으로써 트로이안-스파이 통신으로 인한 지연 조절을 탐지하며, 이는 악성 행위자가 미스 기반 탐지를 회피하기 위해 노이즈를 주입하더라도 효과를 유지한다. 노이즈 주입 시도에도 불구하고 점유도 트레이스에서 거의 완벽한 상관관계(1.0)를 유지한다.

ABSTRACT

Recent studies highlighting the vulnerability of computer architecture to information leakage attacks have been a cause of significant concern. Among the various classes of microarchitectural attacks, cache timing channels are especially worrisome since they have the potential to compromise users' private data at high bit rates. Prior works have demonstrated the use of cache miss patterns to detect these attacks. We find that cache miss traces can be easily spoofed and thus they may not be able to identify smarter adversaries. In this work, we show that \emph{cache occupancy}, which records the number of cache blocks owned by a specific process, can be leveraged as a stronger indicator for the presence of cache timing channels. We observe that the modulation of cache access latency in timing channels can be recognized through analyzing pairwise cache occupancy patterns. Our experimental results show that cache occupancy patterns cannot be easily obfuscated even by advanced adversaries that successfully evade cache miss-based detection.

연구 동기 및 목표

• 악성 행위자가 타이밍 채널 트레이스를 변형함으로써 캐시 미스 기반 탐지에 취약해지는 것을 방지하기 위해.
• 공유 프로세서 캐시에서 캐시 타이밍 채널을 탐지하기 위한 더 견고하고 신뢰할 수 있는 지표를 식별하기 위해.
• 악성 프로세스와 양성 프로세스 간의 상호 배제 행동이 캐시 점유도 패턴에 내재되어 있음을 보여주어 암시적 통신을 탐지할 수 있음을 입증하기 위해.
• 기본적인 공격과 노이즈 주입 공격 모두에서 캐시 점유도 분석의 효과성을 평가하여, 탐지 기술의 회피 기법에 대한 강건성을 입증하기 위해.

제안 방법

• 이 방법은 관찰 기간 동안 프로세스가 소유한 캐시 블록 수로 정의되는 캐시 점유도를 활용하며, 하드웨어 성능 카운터를 통해 측정한다.
• 두 개의 의심스러운 프로세스의 캐시 점유도 트레이스 간의 상관관계 분석을 수행하여 타이밍 채널 활동을 나타내는 동기화된 증가-감소 패턴을 탐지한다.
• 캐시 점유도 변화는 시간적으로 정렬되어 있음을 활용한다: 한 프로세스가 블록을 잃을 때(점유도 감소), 다른 프로세스는 그 블록을 확보한다(점유도 증가)며, 이는 제로 레그 상관관계 피크를 만든다.
• 캐시 미스와 달리, 점유도 패턴은 이방향이 아닌 상호 배제 행동을 반영하므로, 변형하기가 더 어렵다.
• 정규화된 상호상관관계를 사용하여 다양한 레그에서 점유도 트레이스 간 유사도를 정량화하며, 제로 레그에서 피크 상관관계가 관찰되면 강한 동기화가 있음을 의미한다.
• 실시간 캐시 점유도 모니터링을 위한 기존 하드웨어 지원과 통합되어, 추가 하드웨어 수정 없이도 실용적인 구현이 가능하다.

실험 결과

연구 질문

• RQ1 악성 행위자가 노이즈 주입을 통해 캐시 미스 패턴을 회피할 경우, 캐시 점유도 패턴이 캐시 타이밍 채널을 신뢰성 있게 탐지할 수 있는가?
• RQ2 타이밍 채널 운영 중 트로이안과 스파이 간의 캐시 점유도 변화의 시간적 정렬은 캐시 미스 이벤트의 정렬과 어떻게 다른가?
• RQ3 캐시 미스 기반 상관관계가 떨어지는 상황에서 캐시 점유도는 얼마나 높은 상관관계를 유지하는가?
• RQ4 점유도 기반 분석은 단일 그룹 및 다중 그룹 캐시 타이밍 채널 공격을 모두 고도로 정확하게 탐지할 수 있는가?
• RQ5 실제 운영 환경에서 코어트 타이밍 채널을 실시간으로 탐지하기 위해 캐시 점유도가 캐시 미스보다 더 견고한 지표인가?

주요 결과

• 노이즈 주입 시 캐시 미스 상관관계가 0.4로 떨어지더라도, 트로이안과 스파이 프로세스 간의 점유도 기반 상호상관관계는 1.0을 유지하여 완벽한 동기화를 보인다.
• 의도적인 캐시 미스 노이즈 도입으로 인해 미스 기반 상관관계는 0.79에서 0.4로 감소하지만, 점유도 기반 상관관계는 0.01 이내로 변화 없이 안정되어 있어 높은 강건성을 입증한다.
• 캐시 점유도 트레이스는 항상 제로 레그에서 피크를 이룹니다. 이는 동기화된 증가-감소 행동을 의미하며, 반면 캐시 미스 패턴은 배제 이벤트의 시간 지연로 인해 비제로 레그 피크를 보인다.
• 악성 행위자가 clflush 명령어나 기타 변형 기법을 사용하여 트레이스 패턴을 방해하더라도, 이 방법은 암시적 통신을 성공적으로 탐지한다.
• 단방향 캐시 미스 이벤트보다 더 정보가 풍부하고 이방향인 캐시 점유도 신호를 제공하여 악성 활동을 더 이르고 더 신뢰성 있게 탐지할 수 있다.
• 이 방법은 기존의 캐시 점유도 모니터링 하드웨어 지원과 호환되어 현대 상용 프로세서에서의 구현이 실용적이다.