[논문 리뷰] You Shall Not Bypass: Employing data dependencies to prevent Bounds Check Bypass

Oleksii Oleksenko, Bohdan Trach외 3명|arXiv (Cornell University)|2018. 05. 22.

Security and Verification in Computing참고 문헌 4인용 수 26

한 줄 요약

이 논문은 복제된 메모리 로드의 지연을 통해 특수 실행을 이용한 Bounds Check Bypass (BCB) 공격을 방지하기 위해 인위적 데이터 의존성을 사용한다. 이는 전체 직렬화 없이 취약한 메모리 로드를 지연시킴으로써, LFENCE 기반 방식이 초래하는 440%의 오버헤드를 피하면서도 성능을 유지한다. LFENCE 기반 방식이 440%의 오버헤드를 유발하는 데 비해, 저자들이 제안한 데이터 의존성 기법들(예: LAHF, CMOV, 인수 의존성)은 Phoenix 벤치마크에서 평균 60%의 오버헤드로 줄였으며, CPU의 병렬성은 유지하면서도 특수 실행 유출을 차단한다.

ABSTRACT

A recent discovery of a new class of microarchitectural attacks called Spectre picked up the attention of the security community as these attacks can circumvent many traditional mechanisms of defense. One of the attacks---Bounds Check Bypass---can neither be efficiently solved on system nor architectural levels and requires changes in the application itself. So far, the proposed mitigations involved serialization, which reduces the usage of CPU resources and causes high overheads. In this report, we explore methods of delaying the vulnerable instructions without complete serialization. We discuss several ways of achieving it and compare them with Speculative Load Hardening, an existing solution based on a similar idea. The solutions of this type cause 60% overhead across Phoenix benchmark suite, which compares favorably to the full serialization causing 440% slowdown.

연구 동기 및 목표

• 전통적인 소프트웨어 및 하드웨어 보호 조치를 우회하는 주요 Spectre 스타일의 마이크로아키텍처 공격인 Bounds Check Bypass (BCB) 공격의 지속적인 위협을 해결한다.
• BCB 공격을 완화하기 위해 전체 직렬화(예: LFENCE)를 사용할 경우 발생하는 심각한 성능 저하(최대 440%의 런타임 속도 저하)를 해결한다.
• 지시어 수준의 병렬성을 유지하면서도 인위적 데이터 의존성을 이용해 특수 실행된 메모리 로드를 지연시키는 세밀한 완화 전략을 개발하고 평가한다.
• Speculative Load Hardening (SLH)와 같은 기존 솔루션과 비교하여 LAHF, CMOV, 인수 의존성 등의 다양한 데이터 의존성 기법의 효과성과 성능을 평가한다.

제안 방법

• 조건부 브랜치와 이후 메모리 로드 사이에 인위적 데이터 의존성을 도입하여 민감한 로드의 특수 실행을 방지한다.
• EFLAGS 레지스터에 대한 의존성을 만들기 위해 LAHF 명령어를 사용하여, 비교 연산이 완료된 후에만 메모리 로드가 실행되도록 보장한다.
• 비교 결과에 따라 조건부로 마스크 값을 설정하기 위해 CMOVGE를 활용하여 로드가 결과에 의존하도록 하고, 특수 실행된 값을 0으로 만든다.
• 입력 인수를 레지스터(예: R15)와 XOR하여 의존성을 만들고, 비교가 완료된 후에만 로드가 실행되도록 지연시킨다.
• LLVM 컴파일러를 사용하여 Haswell 기반 인텔 프로세서에서 Phoenix 벤치마크 세트를 활용해 이러한 기법을 구현하고 평가한다.
• 여러 벤치마크에서 IPC 측정과 런타임 오버헤드를 비교하여 확장성과 효율성을 평가한다.

실험 결과

연구 질문

• RQ1 전체 직렬화의 높은 성능 비용을 초래하지 않으면서도 데이터 의존성 기반 완화 기법이 Bounds Check Bypass 공격을 방지할 수 있는가?
• RQ2 LAHF, CMOV, 인수 의존성 등의 다양한 데이터 의존성 기법은 성능 오버헤드와 보안 보장을 고려할 때 어떻게 비교되는가?
• RQ3 LFENCE 기반 직렬화 대비 이 기법들이 지시어 수준의 병렬성을 얼마나 잘 유지하는가?
• RQ4 실세계 워크로드에서 전통적인 LFENCE 삽입 대비 특수 실행 하드닝(SLH)이 더 나은 성능을 제공하는가?
• RQ5 이러한 완화 기법들이 타이트 루프나 메모리 집약적인 커널과 같은 다양한 워크로드를 가진 애플리케이션에 미치는 영향은 어떠한가?

주요 결과

• LFENCE 기반 완화 기법은 Phoenix 벤치마크 전반에서 평균 440%의 성능 오버헤드를 유발하여 CPU 활용도가 심각하게 저하되고, IPC는 약 2.3에서 약 0.5로 감소한다.
• 제안된 데이터 의존성 기법들은 평균 오버헤드를 60%로 줄여 전체 직렬화보다 뚜렷이 우수한 성능을 유지하면서도 강력한 보안 보장을 확보한다.
• LAHF 기반 방법은 최소한의 오버헤드를 유발하지만, 레지스터 관리에 주의가 필요하고 모든 컴파일러에서 기본적으로 지원되지 않는다.
• 특수 실행 하드닝(SLH)은 LAHF 방법과 유사한 성능을 달성하지만, 마스크를 위해 단일 AND 명령어를 사용하여 명령어 수를 줄이고 효율성을 향상시킨다.
• 인수 의존성 접근법은 가장 단순하지만, 하드웨어 재정렬이 발생할 수 있어 비교가 지연될 경우 여전히 특수 실행이 가능할 수 있어 엄격한 순서 보장을 제공하지 않는다.
• kmeans와 string_match와 같은 벤치마크는 타이트 루프로 인해 가장 높은 오버헤드를 보이며, 여기서 특수 실행 병렬성이 가장 중요하고 동시에 완화 기법에 의해 가장 심각하게 방해받는다.