[논문 리뷰] RELOAD+REFRESH: Abusing Cache Replacement Policies to Perform Stealthy Cache Attacks

Samira Briongos, Pedro Malagón외 2명|arXiv (Cornell University)|2019. 04. 12.

Security and Verification in Computing참고 문헌 28인용 수 26

한 줄 요약

이 논문은 인텔 CPU(4세대~8세대)의 결정론적 캐시 교체 정책을 악용하여, 희생자 프로세스의 메모리 접근을 캐시 미스를 유도하지 않고도 감시할 수 있는 도청성 있는 캐시 공격인 RELOAD+REFRESH를 소개한다. 정확한 캐시 세트 교체 예측 및 조작을 통해 공격자는 탐지 저항성을 확보하면서도 최신 기법인 PRIME+PROBE와 유사한 정확도를 유지도한다.

ABSTRACT

Caches have become the prime method for unintended information extraction across logical isolation boundaries. Even Spectre and Meltdown rely on the cache side channel, as it provides great resolution and is widely available on all major CPU platforms. As a consequence, several methods to stop cache attacks by detecting them have been proposed. Detection is strongly aided by the fact that observing cache activity of co-resident processes is not possible without altering the cache state and thereby forcing evictions on the observed processes. In this work, we show that this widely held assumption is incorrect. Through clever usage of the cache replacement policy it is possible to track a victims process cache accesses without forcing evictions on the victim's data. Hence, online detection mechanisms that rely on these evictions can be circumvented as they do not detect be the introduced RELOAD+REFRESH attack. The attack requires a profound understanding of the cache replacement policy. We present a methodology to recover the replacement policy and apply it to the last five generations of Intel processors. We further show empirically that the performance of RELOAD+REFRESH on cryptographic implementations is comparable to that of other widely used cache attacks, while its detectability becomes extremely difficult, due to the negligible effect on the victims cache access pattern.

연구 동기 및 목표

• 희생자에 대해 감지 가능한 캐시 미스를 유도하지 않고도 캐시 기반 사이드 채널 공격을 수행할 수 있는지 조사하기.
• 4세대에서 8세대까지의 현대 인텔 프로세서의 최종 레벨 캐시(LLC) 교체 정책을 역설계하기.
• 복잡한 실제 CPU 아키텍처에서의 캐시 교체 행동을 분석하고 예측하기 위한 방법론 개발하기.
• 고정밀 시간 해상도로 희생자의 메모리 접근 패턴을 은밀하게 모니터링할 수 있도록 하는 새로운 캐시 공격, RELOAD+REFRESH를 설계하고 구현하기.
• 현재의 탐지 기법이 관찰 가능한 캐시 미스 활동에 의존하고 있음을 감안할 때, 이 새로운 공격 벡터에 대해 무용지물임을 입증하기.

제안 방법

• 캐시 미스를 유도하고 실제 교체된 항목을 관찰하여 교체 정책을 테스트하고 검증하는 데 사용된 새로운 역설계 방법론 개발.
• 하드웨어 성능 카운터(HPCs)를 사용하여 캐시 미스 패tern을 모니터링하고 예측된 교체 후보자와 상관관계를 분석.
• 인텔의 LLC가 접근 이력과 의사난수 선택 메커니즘의 조합에 기반한 결정론적 교체 정책을 사용하고 있음을 밝힘.
• 정확한 타이밍 조절과 캐시 세트 제어를 통해 충돌 주소를 재로드하고 희생자 데이터를 캐시에 유지하면서도 교체하지 않는 RELOAD+REFRESH 공격을 설계.
• AES 및 RSA 암호화 구현체에서 공격을 실행하여 캐시 접근 패턴을 관찰함으로써 비밀 키를 추출.
• 샘플링 속도와 미스 수를 기준으로 RELOAD+REFRESH, PRIME+PROBE, FLUSH+RELOAD의 공격 성능을 측정하고 비교.

실험 결과

연구 질문

• RQ1 현대 인텔 CPU의 캐시 교체 정책을 높은 정확도로 역설계하여 교체 행동을 예측할 수 있는가?
• RQ2 캐시 미스를 유도하지 않고도 희생자의 캐시 접근을 감시하는 것이 가능한가, 이로써 탐지 기법을 회피할 수 있는가?
• RQ3 RELOAD+REFRESH의 성능은 PRIME+PROBE 및 FLUSH+RELOAD와 같은 기존 캐시 공격 기법과 비교해 해상도와 은밀함 측면에서 어떻게 되는가?
• RQ4 RELOAD+REFRESH가 희생자의 캐시 미스 비율과 실행 동작에 실제로 미치는 영향은 무엇인가?
• RQ5 RELOAD+REFRESH는 AES 및 RSA와 같은 실제 암호화 구현체에서 비밀 정보를 추출할 수 있는가?

주요 결과

• RELOAD+REFRESH 공격은 희생자에게 1000개 샘플당 평균 145.6회의 L3 캐시 미스만 유도하며, FLUSH+RELOAD 및 PRIME+PROBE의 1,000회 이상과 비교해 거의 탐지 불가능하다.
• 최대 샘플링 속도에서 RSA 복호화 중 곱셈 연산을 복구하는 데 93%의 정확도를 달성했으며, 이는 PRIME+PROBE의 성능과 동일하다.
• RELOAD+REFRESH의 평균 샘플 간격은 810 사이클로, PRIME+PROBE의 280~1950 사이클 범위보다 높지만, 여전히 고해상도 타이밍에 충분하다.
• 공격은 T-테이블 기반 AES 구현체와 제곱-곱셈 RSA 변형에서 키를 성공적으로 추출하여 실용적 타당성을 입증했다.
• 현재의 탐지 기법이 캐시 미스 모니터링에 의존하고 있음을 감안할 때, 이러한 미스를 유도하지 않는 공격에는 무용지물임을 밝혀냈다.
• 저자들은 인텔 4세대~8세대 CPU에서 사용하는 결정론적 교체 정책을 역설계하여, 이 정책이 접근 이력과 의사난수 메커니즘에 기반하고 있음을 입증했다.