[논문 리뷰] ZombieLoad: Cross-Privilege-Boundary Data Sampling

Michael Schwarz, Moritz Lipp외 5명|Lirias (KU Leuven)|2019. 05. 14.

Security and Verification in Computing참고 문헌 57인용 수 50

한 줄 요약

ZombieLoad은 휘발 버퍼를 통해 누출된 데이터 값을 샘플링하는 Meltdown-type 트랜지언트 실행 공격으로, 프로세스 간, VM 간, 권한 간 및 SGX 인클레이브 데이터 누출을 가능하게 하며, 제안된 완화책으로 하이퍼쓰레딩 비활성화를 제시한다.

ABSTRACT

In early 2018, Meltdown first showed how to read arbitrary kernel memory from user space by exploiting side-effects from transient instructions. While this attack has been mitigated through stronger isolation boundaries between user and kernel space, Meltdown inspired an entirely new class of fault-driven transient execution attacks. Particularly, over the past year, Meltdown-type attacks have been extended to not only leak data from the L1 cache but also from various other microarchitectural structures, including the FPU register file and store buffer. In this paper, we present the ZombieLoad attack which uncovers a novel Meltdown-type effect in the processor's previously unexplored fill-buffer logic. Our analysis shows that faulting load instructions (i.e., loads that have to be re-issued for either architectural or microarchitectural reasons) may transiently dereference unauthorized destinations previously brought into the fill buffer by the current or a sibling logical CPU. Hence, we report data leakage of recently loaded stale values across logical cores. We demonstrate ZombieLoad's effectiveness in a multitude of practical attack scenarios across CPU privilege rings, OS processes, virtual machines, and SGX enclaves. We discuss both short and long-term mitigation approaches and arrive at the conclusion that disabling hyperthreading is the only possible workaround to prevent this extremely powerful attack on current processors.

연구 동기 및 목표

• 캐시 및 L1 데이터 누출을 넘어서는 새로운 Meltdown-type 공격 클래스에 대한 동기 부여와 이해.
• Fill buffer를 통해 데이터 샘플링을 가능하게 하는 미세아키텍처 메커니즘 식별.
• 프로세스, VM, SGX 인클레이브 및 커널 공간 간의 누출 시연.
• 완화책 평가 및 하이퍼쓰레딩 비활성화가 필요한 이유 논의.

제안 방법

• ZombieLoad를 fill-buffer 로직을 겨냥한 트랜지언트 실행 공격으로 기술.
• faulting loads가 이전 로드의 데이터를 트랜지언트하게 읽을 수 있는 stale-entry 가설을 특징화.
• 미세아키텍처 관찰 및 실험(언캐쳐블 메모리 페이지 및 TSX 트랜잭션 포함)을 사용해 누출 소스 위치를 파악.
• ZombieLoad를 지시된 데이터 값을 leaked data와 연결하는 데이터 샘플링 공격으로 분류.
• cross-process, cross-VM, SGX, 커널-유저 누출에 걸친 공격 시나리오 시연.
• 완화책에 대한 잠재적 대책 및 실제 고려사항 논의.

실험 결과

연구 질문

• RQ1 Fill buffer를 사용해 권한 경계를 넘나들며 데이터를 누출하는 Meltdown-type 트랜지언트 실행 공격이 가능한가?
• RQ2 ZombieLoad가 교차 코어, 교차 프로세스, 교차 VM, SGX 인클레이브 데이터 누출을 가능하게 하며 어떤 조건에서 그런가?
• RQ3 데이터 샘플링을 가능하게 하는 미세아키텍처 메커니즘(예: fill-buffer 동작, 마이크로코드 보조)이 명시적 주소 타깃팅 없이 누출을 가능하게 하는가?
• RQ4 어떤 완화책이 ZombieLoad에 효과적으로 방어할 수 있으며 그 트레이드오프는 무엇인가?

주요 결과

• ZombieLoad는 faulting loads 중에 fill buffer를 통해 최근에 로드된 오래된 값을 논리적 코어 간 누출을 가능하게 한다.
• 누출은 사용자 공간, 커널 공간, SGX 인클레이브, 가상 머신, 하이퍼바이저 간에 시연된다.
• 공격자는 명시적 주소 타깃팅 없이 데이터를 회수할 수 있으며, ZombieLoad를 주소 기반 누출이 아닌 데이터 샘플링으로 분류한다.
• 트랜지언트 영역에서 누출된 데이터의 후처리는 이전의 트랜지언트 공격보다 더 usable 신호 추출을 개선한다.
• 저자는 현재 프로세서에서 ZombieLoad 악용을 방지하는 유일한 실용적 해결책으로 하이퍼쓰레딩 비활성화가 필요하다고 주장한다.
• 공격은 SGX 기밀성과 원격 증명성을 훼손하며 인클레이브 내에 로드된 비밀을 누출한다.