[论文解读] oo7: Low-overhead Defense against Spectre Attacks

Guanhua Wang, Sudipta Chattopadhyay+3 more|arXiv (Cornell University)|Jul 16, 2018

Security and Verification in Computing参考文献 5被引用 2

一句话总结

oo7 是一种静态分析框架，通过控制流提取、污点分析和地址分析，在程序二进制文件中检测可能受 Spectre 攻击影响的代码模式，并仅在易受攻击的条件分支处插入推测执行屏障来缓解攻击。它实现了对 15 种已知 Spectre 模式的 100% 检测率，在 SPECint 基准测试中仅带来 5.9% 的平均性能开销。

ABSTRACT

The Spectre vulnerability in modern processors has been widely reported. The key insight in this vulnerability is that speculative execution in processors can be misused to access the secrets. Subsequently, even though the speculatively executed instructions are squashed, the secret may linger in micro-architectural states such as cache, and can potentially be accessed by an attacker via side channels. In this paper, we propose oo7, a static analysis approach that can mitigate Spectre attacks by detecting potentially vulnerable code snippets in program binaries and protecting them against the attack by patching them. Our key contribution is to balance the concerns of effectiveness, analysis time and run-time overheads. We employ control flow extraction, taint analysis, and address analysis to detect tainted conditional branches and speculative memory accesses. oo7 can detect all fifteen purpose-built Spectre-vulnerable code patterns, whereas Microsoft compiler with Spectre mitigation option can only detect two of them. We also report the results of a large-scale study on applying oo7 to over 500 program binaries (average binary size 261 KB) from different real-world projects. We protect programs against Spectre attack by selectively inserting fences only at vulnerable conditional branches to prevent speculative execution. Our approach is experimentally observed to incur around 5.9% performance overheads on SPECint benchmarks.

研究动机与目标

• 应对 Spectre 漏洞带来的关键安全威胁，此类漏洞利用推测执行通过侧信道泄露敏感信息。
• 克服现有基于编译器的缓解方案（如微软的编译器）的局限性，后者无法检测大多数已知的 Spectre 模式。
• 开发一种可扩展的、低开销的防御机制，在检测有效性、分析时间与运行时性能之间实现良好平衡。
• 实现在无需访问源代码的情况下，将 Spectre 缓解措施部署于实际的二进制程序中。

提出的方法

• 从二进制代码中提取控制流，以重建程序结构并识别条件分支。
• 应用污点分析以传播数据流，并检测可能影响推测执行路径的输入。
• 进行地址分析，以识别可能泄露敏感数据的推测内存访问。
• 通过关联被污染的条件分支与推测内存访问，检测所有 15 种已知的 Spectre 易受攻击代码模式。
• 仅在易受攻击的条件分支处选择性地插入硬件内存屏障（fences），以阻止推测执行。
• 通过仅在关键点插入屏障来优化防御机制，从而降低性能影响。

实验结果

研究问题

• RQ1 是否能够通过静态分析方法在无源代码访问的情况下，检测编译后二进制文件中所有已知的 Spectre 易受攻击代码模式？
• RQ2 与现有基于编译器的缓解技术相比，oo7 在检测 Spectre 模式方面的有效性如何？
• RQ3 oo7 在不同工作负载下应用于实际二进制文件时，其性能开销如何？
• RQ4 oo7 是否能够在保持低运行时开销和快速分析时间的同时，实现高检测准确率？
• RQ5 当应用于大规模真实世界二进制文件集合时，oo7 的可扩展性如何？

主要发现

• oo7 成功检测到全部 15 种专门设计的 Spectre 易受攻击代码模式，优于微软编译器，后者仅能检测其中的两个。
• 在一项大规模研究中，oo7 被应用于超过 500 个实际程序的二进制文件，平均大小为 261 KB，证明了其实际可扩展性。
• 在 SPECint 基准测试中，该方法的平均性能开销仅为 5.9%，显著低于朴素的缓解策略。
• 该防御机制有效，因为它仅在易受攻击的条件分支处插入屏障，从而最大限度减少性能影响。
• 控制流提取、污点分析与地址分析的结合，能够精确识别推测执行风险。
• 结果证实，对二进制文件的静态分析可作为 Spectre 问题源代码级缓解的可行且高效的替代方案。