[論文レビュー] SpyHammer: Understanding and Exploiting RowHammer under Fine-Grained Temperature Variations

Lois Orosa, Ulrich Rührmair+8 more|arXiv (Cornell University)|Oct 8, 2022

Physical Unclonable Functions (PUFs) and Hardware Security被引用数 13

ひとこと要約

SpyHammerは、DRAMの温度とRowHammerによって引き起こされるビットエラー率の相関関係を活用することで、システムの変更や被害者のDRAMモジュールに関する事前知識が不要な状態で、メモリアクセスパターンのみを用いて遠隔でDRAMの温度を推定する、実用的である最初のRowHammerベースのサイドチャネル攻撃である。本攻撃は、絶対温度推定において±2.5°C以内、相対的温度変化推定において±3.5°C以内の精度を達成する。

ABSTRACT

RowHammer is a DRAM vulnerability that can cause bit errors in a victim DRAM row solely by accessing its neighboring DRAM rows at a high-enough rate. Recent studies demonstrate that new DRAM devices are becoming increasingly vulnerable to RowHammer, and many works demonstrate system-level attacks for privilege escalation or information leakage. In this work, we perform the first rigorous fine-grained characterization and analysis of the correlation between RowHammer and temperature. We show that RowHammer is very sensitive to temperature variations, even if the variations are very small (e.g., $\pm 1$ °C). We leverage two key observations from our analysis to spy on DRAM temperature: 1) RowHammer-induced bit error rate consistently increases (or decreases) as the temperature increases, and 2) some DRAM cells that are vulnerable to RowHammer exhibit bit errors only at a particular temperature. Based on these observations, we propose a new RowHammer attack, called SpyHammer, that spies on the temperature of DRAM on critical systems such as industrial production lines, vehicles, and medical systems. SpyHammer is the first practical attack that can spy on DRAM temperature. Our evaluation in a controlled environment shows that SpyHammer can infer the temperature of the victim DRAM modules with an error of less than $\pm 2.5$ °C at the 90th percentile of all tested temperatures, for 12 real DRAM modules (120 DRAM chips) from four main manufacturers.

研究の動機と目的

• 微細な（1°Cごと）温度変動における、現代のDRAMチップにおけるRowHammerによるビットエラー率と温度の関係を調査すること。
• ハードウェアやソフトウェアの変更なしに、メモリアクセスパターンのみを用いて、DRAMのビットフィップから温度を推定する遠隔サイドチャネル攻撃を開発すること。
• 産業用機器、車両、医療機器などの重要なシステムにおいて、絶対的および相対的温度監視を可能にすること。
• 特定の温度でのみフィップする「カナリアセル」と呼ばれるセルを同定することで、攻撃コストを低減し、必要なメモリアクセス数を最小限に抑えること。
• 4つの主要メーカーから得た12種類の実際のDRAMモジュールを対象に、攻撃の実現可能性と精度を評価すること。

提案手法

• RowHammerによって引き起こされるビットエラー率（BER）が温度とともに一貫して増加または減少することに着目し、温度の推定が可能であることを活用した。
• 2種類の攻撃バージョンを提案：1つは被害者の事前特徴記述なしで相対的温度変化を推定するもの、もう1つは被害者のDRAMモジュールの事前特徴記述を必要とする絶対温度推定のもの。
• 既知の温度プロファイルを持つDRAMモジュールを用いて訓練した多項式回帰モデルを構築し、BERを温度にマッピングする。
• 攻撃コストを低減するために、登録フェーズで「カナリーセル」（特定の温度でのみフィップするDRAMセル）を同定した。
• 物理的アクセスなしに、遠隔でのRowHammer技術を用いて被害者のDRAMモジュールを逆引きし、相対的温度監視を可能にした。
• 120個のDRAMチップ（12モジュール）を対象に、1°Cごとの温度ステップで制御実験を実施し、実世界の環境下での攻撃の妥当性を検証した。

実験結果

リサーチクエスチョン

• RQ1 現代のDRAMチップにおいて、RowHammerによるビットエラー率は、微細な温度変動（1°Cごと）と信頼性高く相関するか？
• RQ2 システムの変更なしに、メモリアクセスパターンのみを用いて、攻撃者がDRAMの絶対的または相対的温度を推定できるか？
• RQ3 複数のメーカーから得た多様なDRAMモジュールにおいて、RowHammerによって引き起こされるビットフィップを用いた温度推定の精度はどの程度か？
• RQ4 特定の温度でのみフィップするセル（カナリーセル）に注目することで、攻撃の効率性を高め、メモリアクセスのオーバーヘッドを低減できるか？
• RQ5 このような攻撃の実世界の重要なシステムにおける実用的限界と誤差範囲は何か？

主な発見

• SpyHammerは、テスト済みの12モジュールすべてにおいて、90百分位数の範囲で絶対温度推定誤差が±2.5°C以内であることを確認した。
• 被害者のDRAMモジュールの事前特徴記述なしに、相対的温度変化を推定する場合、SpyHammerは誤差±3.5°Cの精度を達成した。
• 同じモデルのDRAMモジュール間で、BERと温度の相関関係が一貫しており、異なるシステム間での相対的温度監視が可能であることを示した。
• テスト済みのDRAMモジュールの83％で「カナリーセル」（特定の温度でのみフィップするセル）が同定され、より少ないメモリアクセス数で効率的な温度監視が可能となった。
• DRAMのリフレッシュを無効にせず、他のプロセスのデータを破損させないため、攻撃は生産環境においても静かで実用的である。
• 4つの主要メーカーから得た12種類の実際のDRAMモジュールにおいて、本手法が有効であることを確認し、広範な適用可能性と高い耐障害性を示した。