[论文解读] Reverse Engineering Intel DRAM Addressing and Exploitation

Peter Pessl, Daniel Gruss+2 more|arXiv (Cornell University)|Nov 27, 2015

Security and Verification in Computing参考文献 22被引用 12

一句话总结

本文提出了一种新颖的基于定时的逆向工程技术，无需特权访问即可逆向推导英特尔DRAM寻址函数，从而通过DRAM中的行冲突实现侧信道攻击和隐蔽信道攻击。该方法实现了1.5 Mb/s的隐蔽信道速率，并将Rowhammer攻击的搜索空间缩小至原来的1/16,384，利用了跨多个CPU的DRAM布局特性。

ABSTRACT

In this paper, we present a method to reverse engineer DRAM addressing functions based on a physical bus probing. Second, we present an automatic and generic method to reverse engineer DRAM addressing functions merely from performing a timing attack. This timing attack can be performed on any system without privileges and even in virtual machines to derive information about the mapping to physical DRAM channels, ranks and banks. We reversed the complex adressing functions on a diverse set of Intel processors and DRAM configurations. Our work enables side-channel attacks and covert channels based on inner-bank row conflicts and overlaps. Thus, our attack does not exploit the CPU as a shared resource, but only the DRAM that might even be shared across multiple CPUs. We demonstrate the power of such attacks by implementing a high speed covert channel that achieves transmission rates of up to 1.5 Mb/s, which is three orders of magnitude faster than current covert channels on main memory. Finally, we show how our results can be used to increase the efficiency of the Rowhammer attack significantly by reducing the search space by a factor of up to 16384.

研究动机与目标

• 通过仅使用定时侧信道信息，逆向推导英特尔处理器上的DRAM寻址函数。
• 基于DRAM内部bank的行冲突，实现侧信道和隐蔽信道攻击。
• 通过精确映射DRAM通道、rank和bank布局，缩小Rowhammer攻击的搜索空间。
• 在非特权环境（包括虚拟机）中证明此类攻击的可行性。
• 提供一种通用且自动化的逆向工程技术，适用于多种英特尔处理器和DRAM配置。

提出的方法

• 该方法通过物理总线探测来观察DRAM访问模式，并推导出寻址映射关系。
• 采用定时攻击技术，通过测量访问延迟来推断DRAM通道、rank和bank布局，无需系统特权。
• 通过分析内存访问中的定时差异，自动重建复杂的DRAM寻址函数。
• 利用DRAM bank内部的行冲突行为，构建高带宽隐蔽信道。
• 该技术具有通用性，适用于多种英特尔处理器和DRAM配置，即使在虚拟化环境中也有效。
• 利用逆向推导出的寻址函数，通过缩小目标搜索空间来优化Rowhammer攻击。

实验结果

研究问题

• RQ1 如何仅通过定时侧信道信息逆向推导DRAM寻址函数？
• RQ2 在无特权访问的情况下，能多大程度上推断DRAM布局（通道、rank、bank）？
• RQ3 是否可以利用内部bank的行冲突在DRAM中构建高速隐蔽信道？
• RQ4 通过精确的DRAM布局知识，Rowhammer攻击的搜索空间最多可缩小多少？
• RQ5 在虚拟机或非特权环境中是否可行执行此类逆向工程？

主要发现

• 作者成功仅通过定时测量，在多种英特尔处理器和DRAM配置上逆向推导出DRAM寻址函数。
• 实现了一个最高达1.5 Mb/s传输速率的隐蔽信道，显著快于现有的基于主内存的隐蔽信道。
• 通过精确的DRAM布局重建，将Rowhammer攻击的搜索空间缩小了最多16,384倍。
• 该方法无需root权限即可运行，在虚拟机中也有效，从而扩大了攻击面。
• 结果表明，DRAM不仅CPU，也可作为多个处理器之间的共享资源，用于侧信道攻击。
• 内部bank的行冲突可被利用以实现高带宽通信，从而开启新型内存侧信道攻击类别。