[论文解读] The RowHammer Problem and Other Issues We May Face as Memory Becomes Denser

Onur Mutlu|arXiv (Cornell University)|Mar 2, 2017

Advanced Memory and Neural Computing参考文献 63被引用 14

一句话总结

本文识别出RowHammer为DRAM中一种由重复行访问期间单元间干扰引发的关键硬件诱导安全漏洞，展示了其如何通过用户级利用实现权限提升和系统控制。文章主张采用系统-内存协同设计与严谨的故障建模方法，以在下一代高密度内存技术中预见并防止此类漏洞。

ABSTRACT

As memory scales down to smaller technology nodes, new failure mechanisms emerge that threaten its correct operation. If such failure mechanisms are not anticipated and corrected, they can not only degrade system reliability and availability but also, perhaps even more importantly, open up security vulnerabilities: a malicious attacker can exploit the exposed failure mechanism to take over the entire system. As such, new failure mechanisms in memory can become practical and significant threats to system security. In this work, we discuss the RowHammer problem in DRAM, which is a prime (and perhaps the first) example of how a circuit-level failure mechanism in DRAM can cause a practical and widespread system security vulnerability. RowHammer, as it is popularly referred to, is the phenomenon that repeatedly accessing a row in a modern DRAM chip causes bit flips in physically-adjacent rows at consistently predictable bit locations. It is caused by a hardware failure mechanism called DRAM disturbance errors, which is a manifestation of circuit-level cell-to-cell interference in a scaled memory technology. We analyze the root causes of the RowHammer problem and examine various solutions. We also discuss what other vulnerabilities may be lurking in DRAM and other types of memories, e.g., NAND flash memory or Phase Change Memory, that can potentially threaten the foundations of secure systems, as the memory technologies scale to higher densities. We conclude by describing and advocating a principled approach to memory reliability and security research that can enable us to better anticipate and prevent such vulnerabilities.

研究动机与目标

• 分析RowHammer漏洞作为电路级DRAM故障如何导致实际系统级安全利用的典型案例。
• 探究RowHammer的根本原因，包括DRAM干扰错误以及相邻行之间的物理干扰。
• 评估2008–2014年间129个DRAM模块中RowHammer的现实普遍性和严重性，表明其普遍存在漏洞。
• 探索其他内存技术（如NAND闪存和相变存储器）中可能存在的类似故障机制，这些技术在向更高密度发展时可能带来未来安全风险。
• 倡导采用系统化、协同设计的方法，开展内存可靠性与安全研究，以预见并缓解新兴硬件漏洞。

提出的方法

• 使用基于FPGA的实验性DRAM测试基础设施，系统性地探测并测量来自三大主要制造商的129款主流DRAM模块中的RowHammer行为。
• 开展受控的行锤击实验，观察在单个刷新周期内重复激活和预充电操作下，物理相邻行中发生的位翻转现象。
• 分析不同DRAM代际（2008–2014年）的故障模式，发现所有2012–2013年测试的模块均易受RowHammer影响。
• 提出系统-内存协同设计作为核心方法论，将智能内存控制器与架构级机制相结合，以检测、纠正或防止由故障引发的漏洞。
• 倡导利用小规模器件测试和大规模现场运行的真实实验数据进行故障建模与预测，以指导未来设计。
• 推动集成化设计、自动化与测试方法，使其与架构级和系统级可靠性机制相协调，以确保全面的故障覆盖。

实验结果

研究问题

• RQ1 现代DRAM中RowHammer漏洞的根本原因是什么？其在电路层面如何表现？
• RQ2 RowHammer漏洞在不同DRAM模块和制造年代中有多普遍？
• RQ3 用户级程序是否能利用RowHammer在真实系统中实现权限提升或系统控制？
• RQ4 其他内存技术（如NAND闪存或相变存储器）在向更高密度发展时，是否可能表现出类似的硬件诱导安全漏洞？
• RQ5 可采用哪些系统化架构与设计方法，以在漏洞实际出现在生产系统前预见并预防其发生？

主要发现

• 在129个测试的DRAM模块中（2008–2014年），110个表现出由RowHammer引发的位翻转，所有2012–2013年模块均易受攻击。
• RowHammer是一个真实且广泛存在的漏洞，谷歌Project Zero的研究人员已证明其可通过仅使用用户级代码实现内核权限提升。
• 该漏洞源于由缩放引起的DRAM干扰错误，而非软件错误或配置缺陷。
• 该现象具有可预测性和一致性，位翻转会在重复行访问后于相邻行的特定、可复现位置发生。
• RowHammer已在多个真实世界攻击场景中被利用，包括远程服务器控制、虚拟机逃逸以及无权限的移动设备入侵。
• 本文结论认为，必须采用主动的、协同设计的系统与内存架构，才能在漏洞被实际利用前预见并防止其发生。