[论文解读] A Systematic Evaluation of Transient Execution Attacks and Defenses

Claudio Canella, Jo Van Bulck+7 more|arXiv (Cornell University)|Nov 13, 2018

Security and Verification in Computing参考文献 44被引用 157

一句话总结

本文对 Spectre- 和 Meltdown 型瞬态执行攻击进行了系统化整理，揭示了此前被忽视的六种攻击，并评估了在英特尔、AMD 及 ARM CPU 上防御的有效性。

ABSTRACT

Research on transient execution attacks including Spectre and Meltdown showed that exception or branch misprediction events might leave secret-dependent traces in the CPU's microarchitectural state. This observation led to a proliferation of new Spectre and Meltdown attack variants and even more ad-hoc defenses (e.g., microcode and software patches). Both the industry and academia are now focusing on finding effective defenses for known issues. However, we only have limited insight on residual attack surface and the completeness of the proposed defenses. In this paper, we present a systematization of transient execution attacks. Our systematization uncovers 6 (new) transient execution attacks that have been overlooked and not been investigated so far: 2 new exploitable Meltdown effects: Meltdown-PK (Protection Key Bypass) on Intel, and Meltdown-BND (Bounds Check Bypass) on Intel and AMD; and 4 new Spectre mistraining strategies. We evaluate the attacks in our classification tree through proof-of-concept implementations on 3 major CPU vendors (Intel, AMD, ARM). Our systematization yields a more complete picture of the attack surface and allows for a more systematic evaluation of defenses. Through this systematic evaluation, we discover that most defenses, including deployed ones, cannot fully mitigate all attack variants.

研究动机与目标

• 深化对瞬态执行攻击全表面的理解，超越已知变体。
• 提供一个明确的 Spectre- 与 Meltdown 型攻击的分类法与命名体系。
• 识别被忽视的错误训练策略和新的攻击变体。
• 系统性评估现有防御并展示残留的攻击面。
• 就能够抑制整类瞬态执行攻击的防御设计提供指导。

提出的方法

• 开发基于决策树的分类法，以根本原因和阶段对瞬态执行攻击进行分类。
• 在英特尔、AMD 和 ARM 硬件上用概念验证演示六种此前被忽视的攻击。
• 引入并验证四种 Spectre 变体的错误训练策略以及两种新的 Meltdown 型效应。
• 对一系列防御进行实验评估，并讨论哪些缓解措施是有效的或不足的。
• 比较 Spectre 型与 Meltdown 型攻击机制，以指导防御的软硬件协同设计。

实验结果

研究问题

• RQ1 超越已知变体的瞬态执行攻击的完整攻击面是什么？
• RQ2 是否能够在多家 CPU 厂商上演示新的错误训练策略和 Meltdown 型效应？
• RQ3 对扩大的瞬态执行攻击集合，现有部署的和提出的防御有多大效果？
• RQ4 哪些设计原则能够抑制整类瞬态执行攻击而非单个变体？

主要发现

• 识别出六种此前被忽视的瞬态执行攻击，其中包括两种 Meltdown 型效应（Meltdown-PK 和 Meltdown-BND）以及四种 Spectre 误训练策略。
• 概念验证实验显示对英特尔、AMD 和 ARM CPU 的攻击，扩展了已知的攻击面。
• 大多数防御措施（包括已部署的补丁）并不能完全缓解所有攻击变体。
• Spectre 型攻击需要软硬件协同设计，而 Meltdown 型防御可以通过在硅中阻止故障结果的前向传播或通过特定缓解来实现。
• 研究揭示了误训练策略中的盲点，并表明即使存在缓解措施，仍可利用多种变体。
• 分类法澄清了根本原因和攻击路径，有助于设计更全面的防御措施。