[论文解读] oo7: Low-overhead Defense against Spectre Attacks via Program Analysis

Guanhua Wang, Sudipta Chattopadhyay+3 more|arXiv (Cornell University)|Jul 16, 2018

Security and Verification in Computing参考文献 18被引用 38

一句话总结

oo7 是一种基于二进制级别的静态分析框架，通过污点分析、控制流提取和推测执行建模来检测易受 Spectre 攻击的代码模式，并通过选择性插入屏障指令来缓解攻击。它检测了全部 15 个标准 Spectre 程序测试用例，性能表现优于微软的编译器缓解方案，且在 SPECint 基准测试中仅带来 5.9% 的平均性能开销。

ABSTRACT

The Spectre vulnerability in modern processors has been widely reported. The key insight in this vulnerability is that speculative execution in processors can be misused to access the secrets. Subsequently, even though the speculatively executed instructions are squashed, the secret may linger in micro-architectural states such as cache, and can potentially be accessed by an attacker via side channels. In this paper, we propose oo7, a static analysis approach that can mitigate Spectre attacks by detecting potentially vulnerable code snippets in program binaries and protecting them against the attack by patching them. Our key contribution is to balance the concerns of effectiveness, analysis time and run-time overheads. We employ control flow extraction, taint analysis, and address analysis to detect tainted conditional branches and speculative memory accesses. oo7 can detect all fifteen purpose-built Spectre-vulnerable code patterns, whereas Microsoft compiler with Spectre mitigation option can only detect two of them. We also report the results of a large-scale study on applying oo7 to over 500 program binaries (average binary size 261 KB) from different real-world projects. We protect programs against Spectre attack by selectively inserting fences only at vulnerable conditional branches to prevent speculative execution. Our approach is experimentally observed to incur around 5.9% performance overheads on SPECint benchmarks.

研究动机与目标

• 解决现代处理器中 Spectre 漏洞带来的持续威胁，这些漏洞利用推测执行通过侧信道泄露秘密信息。
• 开发一种可扩展的、编译后阶段的解决方案，无需操作系统的修改或硬件支持，即可检测并修补存在漏洞的二进制文件。
• 在实现高检测准确率的同时，通过选择性插入屏障指令将性能开销降至最低，以应对 Spectre 变种攻击。
• 克服现有基于编译器的缓解方案无法检测大量已知 Spectre 模式的局限性。
• 实现在无源代码或运行时插桩支持的情况下，将 Spectre 缓解机制实际部署于真实世界软件二进制文件中。

提出的方法

• 在二进制级别执行控制流提取，从编译后的机器代码中重构程序结构。
• 应用污点分析，将攻击者控制的输入在条件分支和内存访问中进行传播。
• 通过分析受污染分支之后固定推测窗口内的指令，对推测执行进行建模。
• 利用地址分析识别可能将秘密信息泄露至微体系结构状态的推测性内存访问。
• 在检测到的敏感条件分支处插入屏障指令，以阻止敏感代码路径的推测执行。
• 利用 BAP（二进制分析平台）进行静态分析，包括循环展开和控制流图构建，采用保守假设以避免漏报。

实验结果

研究问题

• RQ1 是否能够通过静态二进制分析方法在无源代码访问的情况下检测所有已知的 Spectre 易受攻击代码模式？
• RQ2 如何在二进制分析中准确建模推测执行，以识别出可能导致秘密信息泄露的瞬态指令？
• RQ3 与全系统或编译器级别缓解方案相比，仅在检测到的易受攻击分支处插入屏障指令的性能开销如何？
• RQ4 oo7 的检测准确率与现有基于编译器的防御方案（如微软的 Spectre 缓解方案）相比如何？
• RQ5 静态分析在多大程度上能够检测那些难以通过系统级或硬件级缓解方案应对的 Spectre 变种？

主要发现

• oo7 成功检测了全部 15 个标准 Spectre 程序测试用例，而微软的基于编译器的缓解方案仅能检测其中的 2 个。
• oo7 的屏障插入在 SPECint 基准测试中的平均性能开销为 5.9%，表明其运行时成本较低。
• 在 500 个真实世界程序二进制文件（平均大小为 261 KB）的大规模实验中，oo7 成功识别并修补了存在漏洞的代码，且误报极少。
• 在修补前，Spectre 攻击可成功执行；修补后，攻击失败，验证了功能正确性。
• 该方法对多种未被系统级解决方案充分应对的 Spectre 变种也具有有效性，原因在于其高开销或不兼容性。
• 通过保守假设（将所有用户输入视为污点源，并在循环展开中采用最坏情况的循环边界）将 oo7 的漏报降至最低。