[論文レビュー] SoftTRR: Protect Page Tables Against RowHammer Attacks using Software-only Target Row Refresh

Zhang Zhi, Yueqiang Cheng+8 more|arXiv (Cornell University)|Feb 20, 2021

Security and Verification in Computing参考文献 31被引用数 13

ひとこと要約

SoftTRR は、ページテーブルの隣接するメモリアクセスパターンを監視し、カーネルが管理するメモリ追跡を介して標的の行リフレッシュをトリガーすることで、x86 システムのページテーブルを Rowhammer 攻撃から保護するソフトウェアオンリーの防御手法である。既存の仮想メモリメカニズムのみを用いて、すべての既知のカーネル特権昇格攻撃を効果的に緩和し、最小限のパフォーマンスおよびメモリオーバーヘッドで実現する。

ABSTRACT

Rowhammer attacks that corrupt level-1 page tables to gain kernel privilege are the most detrimental to system security and hard to mitigate. However, recently proposed software-only mitigations are not effective against such kernel privilege escalation attacks. In this paper, we propose an effective and practical software-only defense, called SoftTRR, to protect page tables from all existing rowhammer attacks on x86. The key idea of SoftTRR is to refresh the rows occupied by page tables when a suspicious rowhammer activity is detected. SoftTRR is motivated by DRAM-chip-based target row refresh (ChipTRR) but eliminates its main security limitation (i.e., ChipTRR tracks a limited number of rows and thus can be bypassed by many-sided hammer). Specifically, SoftTRR protects an unlimited number of page tables by tracking memory accesses to the rows that are in close proximity to page-table rows and refreshing the page-table rows once the tracked access count exceeds a pre-defined threshold. We implement a prototype of SoftTRR as a loadable kernel module, and evaluate its security effectiveness, performance overhead, and memory consumption. The experimental results show that SoftTRR protects page tables from real-world rowhammer attacks and incurs small performance overhead as well as memory cost.

研究の動機と目的

• Rowhammer によるレベル1ページテーブルの破損という深刻なセキュリティ脅威に対処すること。この破損により、カーネル特権昇格が可能になる。
• カーネルの変更なしに、商用ハードウェアで動作するソフトウェアオンリーの防御を設計すること。これにより、先行するソフトウェア緩和策の制限を克服する。
• CATT、CTA、ZebRAM などの既存のソフトウェア防御を回避する攻撃を含め、すべての既知の Rowhammer を用いたカーネル特権昇格攻撃を防ぐこと。
• ハードウェア固有の機能に依存しないまま、高い効果性と低いオーバーヘッドを維持すること。
• DDR3 および DDR4 メモリを搭載した多様な Linux システムにおいて、実世界の展開においても互換性と安定性を確保すること。

提案手法

• SoftTRR は、カーネルの MMU およびページテーブル管理機能を活用し、リーフページテーブルエントリの予約済みビット（rsrv）を設定することで、ページテーブルエントリの隣接する行へのメモリアクセスを追跡する。
• これらの隣接行へのアクセス回数を監視し、閾値を超えた場合に、対応するページテーブル行のリフレッシュをトリガーする。
• 不審なハンマリングアクティビティが隣接行で検出された場合にのみ、メカニズムが起動されるため、標的的かつ効率的なリフレッシュが可能になる。
• 既存の仮想メモリインfra を活用しており、カーネルの変更を必要としないため、SoftTRR をロード可能なカーネルモジュールとして実装できる。
• 攻撃者行から最大6行離れたページテーブル行の保護をサポートする。これにより、1行分の距離を仮定する既存の防御の制限を克服する。
• ページテーブルエントリの present ビットに対するアクティブチェックを用いて、Rowhammer 攻撃の兆候となるアクセスパターンを検出・応答する。

実験結果

リサーチクエスチョン

• RQ1 ソフトウェアオンリーの防御は、x86 におけるすべての既知の Rowhammer を用いたカーネル特権昇格攻撃からページテーブルを効果的に保護できるか？
• RQ2 多くの側面からのハンマリングに対して失敗するハードウェアベースの標的行リフレッシュ（例：ChipTRR）の制限を、ソフトウェア防御がどのように克服できるか？
• RQ3 カーネルの変更なしに、既存の仮想メモリメカニズムのみを用いて、効果的な Rowhammer 缽和が達成可能か？
• RQ4 このような防御の実世界ワークロードにおけるパフォーマンスおよびメモリオーバーヘッドはどの程度か？
• RQ5 この防御は、より上位レベルのページテーブルやその他の機密データ構造の保護に拡張可能か？

主な発見

• SoftTRR は、先行するソフトウェアオンリー防御を回避する PThammer を含め、すべてのテスト済みのカーネル特権昇格攻撃に対して効果的に防御した。
• システムにほとんど測定可能なパフォーマンスオーバーヘッドが発生せず、Linux Test Project（LTP）を用いたストレステストでも顕著なずれが認められなかった。
• SoftTRR は、ページテーブルの周辺に限定された少数の行のアクセス回数のみを追跡するため、メモリ消費量は低く抑えられた。
• 延々と継続するベンチマークおよび実世界ワークロードの間、システムの安定性が維持され、クラッシュや異常は観測されなかった。
• ロード可能なカーネルモジュールとして実装されたプロトタイプは、DDR3 および DDR4 メモリモジュールを搭載した商用 Linux システムと互換性がある。
• SoftTRR の設計は拡張可能であり、トラッキングおよびリフレッシュロジックを拡張することで、より上位レベルのページテーブルやその他の機密データ構造の保護に適応可能である。