[論文レビュー] Studying EM Pulse Effects on Superscalar Microarchitectures at ISA Level

Julien Proy, Karine Heydemann+3 more|arXiv (Cornell University)|Mar 6, 2019

Cryptographic Implementations and Security参考文献 26被引用数 6

ひとこと要約

本稿では、ARM Cortex-A9 などのスーパスカラ・アウト・オブ・オーダー・マイクロアーキテクチャにおいて、電磁パルス（EM）による故障効果を命令セットアーキテクチャ（ISA）レベルで特徴付けるブラックボックス手法を提案する。従来の命令スキップやレジスタ破壊に加え、被演算子置換、複数の相関するレジスタ破壊、高度な制御フロー乗っ取りといった、新たな故障モデルを同定し、これらの複雑な効果が標準的なソフトウェア対策を回避できることを示している。特にマジックエッジ故障と組み合わせた場合に顕著である。

ABSTRACT

In the area of physical attacks, system-on-chip (SoC) designs have not received the same level of attention as simpler micro-controllers. We try to model the behavior of secure software running on a superscalar out-of-order microprocessor typical of more complex SoC, in the presence of electromagnetic (EM) pulses. We first show that it is possible, in a black box approach, to corrupt the loop iteration count of both original and hardened versions of two sensitive loops. We propose a characterization methodology based on very simple codes, to understand and classify the fault effects at the level of the instruction set architecture (ISA). The resulting classification includes the well established instruction skip and register corruption models, as well as new effects specific to more complex processors, such as operand substitution, multiple correlated register corruptions, advanced control-flow hijacking, and combinations of all reported effects. This diversity and complexity of effects can lead to powerful attacks. The proposed methodology and fault classification at ISA level is a first step towards a more complete characterization. It is also a tool supporting the designers of software and hardware countermeasures.

研究の動機と目的

• 複雑なスーパスカラ・アウト・オブ・オーダー・マイクロアーキテクチャ上で実行されるセキュアなソフトウェアが、電磁（EM）故障インジェクションに対してどれほど脆弱であるかを調査すること。
• 最小限でターゲットを絞ったテストコードを用いて、ISAレベルでの故障効果を分類する体系的でブラックボックスの手法を開発すること。
• 従来のソフトウェア対策を回避する、高度なマイクロアーキテクチャ固有の新たな故障モデルを同定・特徴付けること。
• ループ複製やチェックサムなどの既存のソフトウェア対策が、これらの複雑な故障パターンに対してどれほど有効であるかを評価すること。
• 現在の保護方式の限界を明らかにすることで、より強固なハイブリッド型ハードウェア・ソフトウェア対策の設計を支援すること。

提案手法

• ARM Cortex-A9プロセッサに市販のEM機器を用いたブラックボックス故障インジェクション手法を採用し、通常およびハードenedされたソフトウェアループのループ反復回数を破壊する。
• 単一命令や小さなループなどの簡単なコード断片から段階的に始め、ISAレベルでの故障効果を分離・分類するためのステップバイステップの手法。
• 異なるダイ領域と多様なEMパルスパラメータを対象とした体系的インジェクションキャンペーンを実施し、故障行動を観測・記録する。
• 観察可能な効果に基づく故障分類：命令スキップ、レジスタ破壊、被演算子置換、制御フロー乗っ取り、複合効果。
• 硬化済みループバージョン（例：チェックサム付きのループ複製）の分析により、複雑な故障条件下での検出能力と故障モードを評価する。
• 確率的故障モデルを用いてインジェクション結果を解釈し、検出されない有害な故障パターン（マジックエッジ効果を含む）を同定する。

実験結果

リサーチクエスチョン

• RQ1 スーパスカラ・アウト・オブ・オーダー・マイクロアーキテクチャにおいて、EMパルスがISAレベルで引き起こせる故障効果の種類は何か？
• RQ2 被演算子置換や相関する複数レジスタ破壊といった新たな故障モデルは、従来のモデル（命令スキップや単一レジスタ破壊）とどのように異なるか？
• RQ3 最新のソフトウェア対策（例：チェックサム付きのループ複製）が、複雑な複合故障効果をどれほど検出できないか、その程度は？
• RQ4 マジックエッジ効果は、ソフトウェアベースの故障検出メカニズムを回避するために果たす役割は何か？
• RQ5 複数の同時破壊や制御フロー操作を含む複合故障効果は、信頼性を持って特徴付けられ、利用可能か？

主な発見

• 市販のEM機器を用いるだけで、感度の高いループの通常版およびハードened版に故障効果を誘発できた。これは、複雑なSoC上で実用的な攻撃が可能であることを示している。
• 観察された故障の15％が説明不能であり、未解明または極めて複雑な故障メカニズムが存在することを示唆しており、さらなる調査を要する。
• 複合故障とマジックエッジ効果が、検出されない有害な故障の主な原因であった。複合故障のうち48％はループ中心の対策で検出可能であったが、残りの52％は検出を回避した。
• 被演算子置換が引き起こす二重レジスタ破壊が、最も一般的な有害な単一故障であり、標準的な検出メカニズムを回避した。
• 複数の対策（例：ループ複製＋チェックサム）を重ねることでコードサイズが11倍に増加したが、依然としてマジックエッジ故障および複合故障に対する完全な保護は得られなかった。
• 結果として、レプリケーションに基づくソフトウェアのみの対策は、複雑なマイクロアーキテクチャに広く存在する相関的・複合故障モデルに対して根本的に不十分であることが明らかになった。