[论文解读] Security Through Amnesia: A Software-Based Solution to the Cold Boot Attack on Disk Encryption

Patrick Simmons|arXiv (Cornell University)|Apr 26, 2011

Cryptographic Implementations and Security参考文献 9被引用 7

一句话总结

本文提出 Loop-Amnesia，一种基于软件的磁盘加密系统，通过将加密密钥仅存储在 CPU 寄存器中而非内存中，彻底消除了对冷启动攻击的脆弱性。通过利用基于寄存器的密钥存储和一种避免内存泄漏的修改版 AES 实现，作者在仅造成 2 倍性能下降的情况下，实现了对冷启动攻击的完全免疫，为通用系统提供了首个实用且开源的解决方案。

ABSTRACT

Disk encryption has become an important security measure for a multitude of clients, including governments, corporations, activists, security-conscious professionals, and privacy-conscious individuals. Unfortunately, recent research has discovered an effective side channel attack against any disk mounted by a running machine\cite{princetonattack}. This attack, known as the cold boot attack, is effective against any mounted volume using state-of-the-art disk encryption, is relatively simple to perform for an attacker with even rudimentary technical knowledge and training, and is applicable to exactly the scenario against which disk encryption is primarily supposed to defend: an adversary with physical access. To our knowledge, no effective software-based countermeasure to this attack supporting multiple encryption keys has yet been articulated in the literature. Moreover, since no proposed solution has been implemented in publicly available software, all general-purpose machines using disk encryption remain vulnerable. We present Loop-Amnesia, a kernel-based disk encryption mechanism implementing a novel technique to eliminate vulnerability to the cold boot attack. We offer theoretical justification of Loop-Amnesia's invulnerability to the attack, verify that our implementation is not vulnerable in practice, and present measurements showing our impact on I/O accesses to the encrypted disk is limited to a slowdown of approximately 2x. Loop-Amnesia is written for x86-64, but our technique is applicable to other register-based architectures. We base our work on loop-AES, a state-of-the-art open source disk encryption package for Linux.

研究动机与目标

• 解决磁盘加密系统在断电后因加密密钥仍保留在内存中而遭受冷启动攻击的关键脆弱性。
• 设计并实现一种无需专用硬件的纯软件防护机制，防止通过冷启动攻击恢复密钥。
• 确保该解决方案可支持多个加密密钥，并在攻击者具备物理访问权限的情况下依然保持安全。
• 证明该方法在实际工作负载下具有可接受的性能影响，兼具实用性和高效性。
• 提供一个可集成到 Linux 等主流操作系统的原型实现。

提出的方法

• 将主加密密钥完全存储在 CPU 寄存器中，而非主内存，利用 CPU 寄存器不受冷启动攻击影响的特性。
• 设计一种修改版的 AES 加密例程，避免在内存中存储任何与密钥相关的数据，包括中间值和轮密钥。
• 基于 loop-AES 构建一个内核模块，将基于寄存器的密钥管理机制集成到生产就绪的磁盘加密系统中。
• 实现一种密钥掩码技术，使多个加密密钥能够被安全地管理与访问，而不会在内存中暴露。
• 在编译器层面实施控制，防止编译器在执行过程中将敏感密钥值溢出到内存中。
• 通过正确性测试和对抵御冷启动攻击的正式论证，验证实现的安全性。

实验结果

研究问题

• RQ1 能否将加密密钥安全地存储在 CPU 寄存器中而非内存中，从而防止冷启动攻击？
• RQ2 是否可行仅通过基于寄存器的密钥存储实现完整的磁盘加密系统，且不显著影响性能？
• RQ3 纯软件解决方案能否有效防止在断电后从内存转储中恢复密钥？
• RQ4 与传统基于内存的磁盘加密系统相比，此类系统的性能开销是多少？
• RQ5 该方法是否可扩展以抵御相关攻击，例如利用 Forenscope 等实时取证工具的攻击？

主要发现

• Loop-Amnesia 通过确保任何加密密钥材料都不会存储在主内存中，成功防御了冷启动攻击。
• 与标准磁盘加密系统相比，该实现的 I/O 操作性能下降约 2 倍。
• 该系统在形式上被证明对冷启动攻击免疫，因为在运行期间内存中从未存在任何密钥材料。
• 该解决方案与现有的 x86-64 架构完全兼容，且可扩展至其他基于寄存器的系统。
• 该方法对直接冷启动攻击及其利用内存持久性的变种均有效。
• 本工作揭示了当前编程语言的一个局限：无法强制开发者确保敏感值始终保留在寄存器中。