[论文解读] Towards a Better Indicator for Cache Timing Channels

Fan Yao, Hongyu Fang+2 more|arXiv (Cornell University)|Feb 13, 2019

Security and Verification in Computing参考文献 26被引用 5

一句话总结

本文提出以缓存占用率作为比缓存未命中模式更鲁棒的指标，用于检测缓存计时通道。通过分析可疑进程之间的成对缓存占用模式，该方法能够检测到特洛伊木马间谍通信引起的延迟调制，即使攻击者注入噪声以逃避基于未命中的检测，依然有效——尽管存在混淆攻击，占用率轨迹的相关性仍接近完美（1.0）。

ABSTRACT

Recent studies highlighting the vulnerability of computer architecture to information leakage attacks have been a cause of significant concern. Among the various classes of microarchitectural attacks, cache timing channels are especially worrisome since they have the potential to compromise users' private data at high bit rates. Prior works have demonstrated the use of cache miss patterns to detect these attacks. We find that cache miss traces can be easily spoofed and thus they may not be able to identify smarter adversaries. In this work, we show that \emph{cache occupancy}, which records the number of cache blocks owned by a specific process, can be leveraged as a stronger indicator for the presence of cache timing channels. We observe that the modulation of cache access latency in timing channels can be recognized through analyzing pairwise cache occupancy patterns. Our experimental results show that cache occupancy patterns cannot be easily obfuscated even by advanced adversaries that successfully evade cache miss-based detection.

研究动机与目标

• 解决基于缓存未命中的检测方法在面对能够混淆计时通道轨迹的复杂攻击者时的脆弱性。
• 识别一种更具鲁棒性和可靠性的指标，用于检测共享处理器缓存中的缓存计时通道。
• 证明缓存占用率模式能够自然反映恶意进程与良性进程之间的相互驱逐行为，从而实现隐蔽通信的检测。
• 评估缓存占用率分析在检测简单攻击与噪声注入攻击中的有效性，展示其对逃避技术的鲁棒性。

提出的方法

• 该方法利用缓存占用率——即在观察期间由某个进程拥有的缓存块数量——通过硬件性能计数器进行测量。
• 通过对两个可疑进程的缓存占用率轨迹执行互相关分析，检测表明计时通道活动的同步增益-损失模式。
• 该方法利用缓存占用率变化在时间上对齐的特性：当一个进程失去缓存块（占用率降低）时，另一个进程则获得缓存块（占用率升高），从而产生零延迟的互相关峰值。
• 与容易被欺骗的单向缓存未命中不同，占用率模式反映了双向、相互驱逐的行为，使其更难被混淆。
• 该方法使用归一化互相关来量化在不同时延下占用率轨迹之间的相似性，零时延处的峰值相关性表明强同步性。
• 该方法与现有的硬件支持兼容，可实现运行时缓存占用率监控，无需额外硬件修改即可实际部署。

实验结果

研究问题

• RQ1 当攻击者通过注入噪声来规避基于缓存未命中的检测时，缓存占用率模式是否能可靠地检测到缓存计时通道？
• RQ2 在计时通道操作期间，特洛伊木马与间谍进程之间的缓存占用率变化在时间上的对齐性，与缓存未命中事件相比有何不同？
• RQ3 在使未命中相关性下降的对抗性混淆攻击下，缓存占用率在多大程度上仍能保持高相关性？
• RQ4 基于占用率的分析能否以高精度检测单组和多组缓存计时通道攻击？
• RQ5 在生产系统中，缓存占用率是否比缓存未命中更适合作为实时检测隐蔽计时通道的鲁棒指标？

主要发现

• 在简单攻击中，基于缓存占用率的特洛伊木马与间谍进程之间的互相关性保持在1.0，表明完全同步，即使在噪声注入下缓存未命中相关性下降至0.4。
• 引入有意的缓存未命中噪声使基于未命中的相关性从0.79降至0.4，但基于占用率的相关性变化小于0.01，表现出极高的鲁棒性。
• 缓存占用率轨迹始终在零时延处达到峰值，表明存在同步的增益-损失行为，而未命中模式由于驱逐事件的时间延迟，表现出非零时延的峰值。
• 即使攻击者使用clflush指令或其他混淆技术来破坏轨迹模式，该方法仍能成功检测到隐蔽通信。
• 与单向的缓存未命中事件相比，缓存占用率提供了更具信息量的双向信号，能够更早、更可靠地检测到恶意活动。
• 该方法与现有的缓存占用率监控硬件支持兼容，使其在现代商用处理器中具备实际部署可行性。