[论文解读] Leaky Cauldron on the Dark Land: Understanding Memory Side-Channel Hazards in SGX

Wenhao Wang, Guoxing Chen+6 more|Open MIND|May 20, 2017

Security and Verification in Computing参考文献 35被引用 39

一句话总结

本文对英特尔SGX中的内存侧信道漏洞进行了全面分析，识别出从TLB到DRAM的八个攻击向量。研究展示了利用访问标志、计时、超线程以及跨enclave DRAM通道实现的更隐蔽、轻量级的攻击，表明现有针对页错误攻击的防御措施不足，因为攻击者可通过其他通道以类似效果绕过这些防御。

ABSTRACT

Side-channel risks of Intel's SGX have recently attracted great attention. Under the spotlight is the newly discovered page-fault attack, in which an OS-level adversary induces page faults to observe the page-level access patterns of a protected process running in an SGX enclave. With almost all proposed defense focusing on this attack, little is known about whether such efforts indeed raise the bar for the adversary, whether a simple variation of the attack renders all protection ineffective, not to mention an in-depth understanding of other attack surfaces in the SGX system. In the paper, we report the first step toward systematic analyses of side-channel threats that SGX faces, focusing on the risks associated with its memory management. Our research identifies 8 potential attack vectors, ranging from TLB to DRAM modules. More importantly, we highlight the common misunderstandings about SGX memory side channels, demonstrating that high frequent AEXs can be avoided when recovering EdDSA secret key through a new page channel and fine-grained monitoring of enclave programs (at the level of 64B) can be done through combining both cache and cross-enclave DRAM channels. Our findings reveal the gap between the ongoing security research on SGX and its side-channel weaknesses, redefine the side-channel threat model for secure enclaves, and can provoke a discussion on when to use such a system and how to use it securely.

研究动机与目标

• 系统分析英特尔SGX中除广为人知的页错误攻击外的内存侧信道威胁。
• 识别并评估SGX内存管理中此前被忽视的攻击向量，包括TLB、缓存和DRAM。
• 证明现有针对页错误攻击的防御措施对新型、更隐蔽的侧信道技术无效。
• 揭示当前SGX安全研究与真实世界侧信道风险之间的差距，尤其是在细粒度监控和高频信息泄露方面。
• 通过展示结合多种信道实现低开销、高精度攻击的可行性，重新定义可信执行环境的威胁模型。

提出的方法

• 对SGX内存管理组件（包括页表、TLB、缓存和DRAM模块）进行了系统性的逆向工程与威胁建模。
• 设计并评估了利用PTE访问/脏标志的新侧信道攻击，以避免页错误并减少AEX次数。
• 结合缓存侧信道技术（如Flush+Reload）与跨enclave DRAM访问模式，实现在64字节粒度下的细粒度监控。
• 利用超线程技术诱导TLB刷新和计时侧信道，实现隐蔽且低开销的信息泄露。
• 通过测量新页通道和基于DRAM的信道中EdDSA私钥的泄露情况，评估攻击的有效性。
• 从隐蔽性、中断频率以及对现有防御机制（如T-SGX和DÉJÀ VU）的抵抗力等方面，将新攻击与已知的页错误攻击进行比较。

实验结果

研究问题

• RQ1 除了页错误之外，英特尔SGX中内存侧信道攻击向量的完整范围是什么？
• RQ2 是否可以通过避免高频AEX而保持高精度信息泄露，使侧信道攻击更加隐蔽？
• RQ3 现有防御机制（如T-SGX和DÉJÀ VU）在面对缓存和DRAM等替代侧信道时，其失效程度如何？
• RQ4 能否通过结合缓存与跨enclave DRAM侧信道实现对enclave执行的细粒度监控（64字节级别）？
• RQ5 新攻击在隐蔽性和信息泄露速率方面与传统页错误攻击相比，其有效性如何？

主要发现

• 在SGX中识别出八个不同的内存侧信道攻击向量，涵盖从TLB到DRAM模块，显著扩大了已知的攻击面。
• 演示了一种新型页通道攻击，通过利用PTE访问标志避免高频AEX，使其比传统页错误攻击更具隐蔽性。
• 通过结合缓存侧信道技术与跨enclave DRAM访问模式，实现了64字节粒度的细粒度监控。
• 新攻击在信息泄露效果上与页错误攻击相当，但由于中断频率降低，检测风险显著减少。
• 现有防御机制（如T-SGX和DÉJÀ VU）对新攻击向量无效，因为它们未防护缓存或基于DRAM的侧信道。
• 本研究揭示了当前SGX安全研究与系统实际侧信道弱点之间的关键差距，尤其体现在防御机制的设计方面。