[논문 리뷰] Reverse Engineering Intel DRAM Addressing and Exploitation

Peter Pessl, Daniel Gruss외 2명|arXiv (Cornell University)|2015. 11. 27.

Security and Verification in Computing참고 문헌 22인용 수 12

한 줄 요약

이 논문은 특권 접근 없이도 Intel DRAM 주소 매핑 함수를 시계열 기반 역공학 기법으로 밝혀내는 새로운 기법을 제안한다. 이는 DRAM의 행 충돌을 통해 측면 채널 및 은밀한 채널 공격을 가능하게 하며, 1.5 Mb/s의 은밀한 채널을 구현하고 Rowhammer 공격의 탐색 공간을 최대 16,384배 줄인다. 이는 다수의 CPU에 걸친 DRAM 레이아웃을 활용한다.

ABSTRACT

In this paper, we present a method to reverse engineer DRAM addressing functions based on a physical bus probing. Second, we present an automatic and generic method to reverse engineer DRAM addressing functions merely from performing a timing attack. This timing attack can be performed on any system without privileges and even in virtual machines to derive information about the mapping to physical DRAM channels, ranks and banks. We reversed the complex adressing functions on a diverse set of Intel processors and DRAM configurations. Our work enables side-channel attacks and covert channels based on inner-bank row conflicts and overlaps. Thus, our attack does not exploit the CPU as a shared resource, but only the DRAM that might even be shared across multiple CPUs. We demonstrate the power of such attacks by implementing a high speed covert channel that achieves transmission rates of up to 1.5 Mb/s, which is three orders of magnitude faster than current covert channels on main memory. Finally, we show how our results can be used to increase the efficiency of the Rowhammer attack significantly by reducing the search space by a factor of up to 16384.

연구 동기 및 목표

• 특권 접근 없이도 시계열 측면 채널 정보만을 사용하여 Intel 프로세서의 DRAM 주소 매핑 함수를 역공학적으로 분석하는 것.
• DRAM 내부 뱅크의 행 충돌 기반으로 측면 채널 및 은밀한 채널 공격를 가능하게 하는 것.
• 정확한 DRAM 채널, 랭크, 뱅크 레이아웃 매핑을 통해 Rowhammer 공격의 탐색 공간을 줄이는 것.
• 가상 머신을 포함한 특권 없음 환경에서도 이러한 공격의 가능성을 입증하는 것.
• 다양한 Intel 프로세서 및 DRAM 구성에 적용 가능한 일반적이고 자동화된 방법을 제공하는 것.

제안 방법

• 물리적 버스 프로빙을 수행하여 DRAM 접근 패턴을 관찰하고 주소 매핑을 유도하는 방법.
• 시스템 특권이 필요 없이 접근 지연 시간을 측정하는 시계열 공격을 사용하여 DRAM 채널, 랭크, 뱅크 레이아웃을 추론하는 방법.
• 메모리 접근 간의 시계열 변동을 분석하여 복잡한 DRAM 주소 매핑 함수를 자동으로 재구성하는 방법.
• DRAM 뱅크 내부의 행 충돌 행동을 활용하여 고대역폭의 은밀한 채널을 구축하는 방법.
• 가상화 환경에서도 작동하는 일반적인 기법으로, 여러 Intel 프로세서 및 DRAM 구성에 적용 가능하다.
• 역공학적으로 유도된 주소 매핑 함수를 사용하여 Rowhammer 공격의 타겟 탐색 공간을 좁히는 방법.

실험 결과

연구 질문

• RQ1 어떻게 시계열 측면 채널 정보만을 사용하여 DRAM 주소 매핑 함수를 역공학적으로 분석할 수 있는가?
• RQ2 특권 없이도 DRAM 레이아웃(채널, 랭크, 뱅크)을 얼마나 정확하게 추론할 수 있는가?
• RQ3 내부 뱅크의 행 충돌을 활용하여 DRAM에서 고속 은밀한 채널을 구축할 수 있는가?
• RQ4 정확한 DRAM 레이아웃 지식을 통해 Rowhammer 공격의 탐색 공간을 얼마나 줄일 수 있는가?
• RQ5 가상 머신이나 특권 없음 환경에서도 이러한 역공학 기법을 수행하는 것이 가능한가?

주요 결과

• 저자들은 특권 접근 없이도 시계열 측정만을 사용하여 다양한 Intel 프로세서와 DRAM 구성에서 DRAM 주소 매핑 함수를 성공적으로 역공학적으로 분석하였다.
• 최대 1.5 Mb/s의 전송 속도를 가지는 은밀한 채널을 구현하였으며, 기존의 메인 메모리 기반 은밀한 채널보다 훨씬 빠른 속도를 기록하였다.
• 정확한 DRAM 레이아웃 재구성 덕분에 Rowhammer 공격의 탐색 공간이 최대 16,384배 감소하였다.
• 루트 권한 없이도 기능하며, 가상 머신에서도 효과적으로 작동하여 더 넓은 공격 표면을 제공하였다.
• 결과적으로 DRAM이 CPU 외에도 다수의 프로세서 간에 공유 자원이 될 수 있음을 입증하였으며, 측면 채널 공격의 대상이 될 수 있음을 보여주었다.
• 내부 뱅크의 행 충돌은 고대역폭 통신을 위해 활용 가능하며, 새로운 유형의 메모리 기반 측면 채널을 가능하게 한다.