[论文解读] New Models for Understanding and Reasoning about Speculative Execution Attacks

Zecheng He, Guangyuan Hu+1 more|arXiv (Cornell University)|Sep 17, 2020

Security and Verification in Computing参考文献 36被引用 4

一句话总结

本文提出了一种基于拓扑排序的新型攻击图模型，用于系统性地分析Spectre和Meltdown等推测执行攻击。该模型识别出缺失的安全依赖关系——即授权与访问操作之间的关键顺序约束——作为引发竞争条件的根本原因，并利用该模型统一、解释并推广现有防御措施，同时支持新漏洞的发现。

ABSTRACT

Spectre and Meltdown attacks and their variants exploit hardware performance optimization features to cause security breaches. Secret information is accessed and leaked through covert or side channels. New attack variants keep appearing and we do not have a systematic way to capture the critical characteristics of these attacks and evaluate why they succeed or fail. In this paper, we provide a new attack-graph model for reasoning about speculative execution attacks. We model attacks as ordered dependency graphs, and prove that a race condition between two nodes can occur if there is a missing dependency edge between them. We define a new concept, "security dependency", between a resource access and its prior authorization operation. We show that a missing security dependency is equivalent to a race condition between authorization and access, which is a root cause of speculative execution attacks. We show detailed examples of how our attack graph models the Spectre and Meltdown attacks, and is generalizable to all the attack variants published so far. This attack model is also very useful for identifying new attacks and for generalizing defense strategies. We identify several defense strategies with different performance-security tradeoffs. We show that the defenses proposed so far all fit under one of our defense strategies. We also explain how attack graphs can be constructed and point to this as promising future work for tool designers.

研究动机与目标

• 解决缺乏系统化框架来建模和推理推测执行攻击的问题。
• 识别出推测执行漏洞的根本原因，超越可观测的侧信道泄漏。
• 在单一理论模型下统一学术界和工业界提出的多样化防御策略。
• 通过形式化的攻击图构建，实现系统性地发现新攻击和漏洞。
• 为硬件安全分析中的工具开发提供形式化且可推广的模型。

提出的方法

• 提出一种拓扑排序图（TSG）模型，将推测执行攻击表示为有序依赖图。
• 将“安全依赖”定义为授权与后续操作（访问、使用、发送）之间的必需顺序约束。
• 证明TSG中缺失的边对应于授权与访问之间的竞争条件，这是攻击得以实现的根本原因。
• 利用TSG对Spectre和Meltdown攻击进行建模，表明Meltdown依赖于指令内微架构依赖，而Spectre则依赖于指令间依赖。
• 基于强制安全依赖关系推导防御策略，并根据性能-安全权衡进行分类。
• 证明所有已知的工业界和学术界的防御措施均可映射到所提出的四种防御策略之一。

实验结果

研究问题

• RQ1 尽管实现方式不同，所有推测执行攻击的共同结构特征是什么？
• RQ2 如何形式化建模推测执行漏洞的根本原因，超越侧信道泄漏？
• RQ3 缺失依赖关系——特别是安全依赖——在促成这些攻击中起到什么作用？
• RQ4 我们能否推导出一个统一框架，以解释现有防御措施为何成功或失败？
• RQ5 该模型如何用于系统性地发现新攻击并设计高效、可推广的防御措施？

主要发现

• 在攻击图中缺失的边被形式化证明等价于授权与访问之间的竞争条件，这是推测执行攻击的根本原因。
• 引入“安全依赖”概念——即授权与访问/使用/发送操作之间的必需顺序——作为硬件安全的新原原子。
• 该模型揭示，Meltdown类攻击依赖于指令内微架构依赖，而Spectre类攻击仅依赖于指令间依赖，从而简化了漏洞检测。
• 所有已知的学术界和工业界的防御措施均被证明是基于攻击图模型所推导出的四种防御策略中的某一种实例。
• 攻击图模型支持系统性地构建新攻击，并为自动化工具开发提供了检测软硬件系统漏洞的基础。
• 通过为Spectre和Meltdown构建攻击图，验证了该理论框架的通用性，可推广至所有已知变体。