Blacksmith - нова атака срещу DRAM памет и DDR4 чипове

Екип от изследователи от ETH Zurich, Vrije Universiteit Amsterdam и Qualcomm публикуваха нов метод за атака RowHammer, който може да промени съдържанието на отделни битове на динамичната памет с произволен достъп (DRAM). Атаката беше с кодово име Blacksmith и идентифицирана като CVE-2021-42114. Много DDR4 чипове, оборудвани със защита срещу известни преди това методи от клас RowHammer, са податливи на проблема. Инструменти за тестване на вашите системи за уязвимост са публикувани в GitHub.

Спомнете си, че атаките на клас RowHammer ви позволяват да изкривявате съдържанието на отделните битове на паметта чрез циклично четене на данни от съседни клетки на паметта. Тъй като DRAM паметта е двуизмерен масив от клетки, всяка от които се състои от кондензатор и транзистор, извършването на непрекъснато четене на една и съща област на паметта води до колебания на напрежението и аномалии, които причиняват малка загуба на заряд в съседните клетки. Ако интензитетът на четене е висок, тогава съседната клетка може да загуби достатъчно голямо количество заряд и следващият цикъл на регенерация няма да има време да възстанови първоначалното си състояние, което ще доведе до промяна в стойността на данните, съхранявани в клетката .

За защита срещу RowHammer, производителите на чипове предложиха механизма TRR (Target Row Refresh), който предпазва от повреда на клетки в съседни редове, но тъй като защитата се основаваше на принципа „сигурност чрез неизвестност“, това не реши проблема при root, но защитен само от известни специални случаи, което улесни намирането на начини за заобикаляне на защитата. Например през май Google предложи метода Half-Double, който не беше повлиян от TRR защитата, тъй като атаката засегна клетки, които не бяха в непосредствена близост до целта.

Новият метод на Blacksmith предлага различен начин за заобикаляне на TRR защитата, базиран на неравномерен достъп до две или повече агресорни струни на различни честоти, за да причини изтичане на заряд. За да се определи моделът на достъп до паметта, който води до изтичане на заряд, е разработен специален fuzzer, който автоматично избира параметри на атака за конкретен чип, променяйки реда, интензивността и систематичността на достъпа до клетката.

Подобен подход, който не е свързан с въздействие върху едни и същи клетки, прави неефективни настоящите методи за защита на TRR, които под една или друга форма се свеждат до отчитане на броя на повторните повиквания към клетките и при достигане на определени стойности иницииране на презареждане на съседни клетки. В Blacksmith моделът на достъп се разпространява в няколко клетки едновременно от различни страни на целта, което прави възможно постигането на изтичане на заряд без достигане на прагови стойности.

Методът се оказа значително по-ефективен от предложените по-рано методи за заобикаляне на TRR - изследователите успяха да постигнат битово изкривяване във всичките 40 наскоро закупени различни чипове памет DDR4, произведени от Samsung, Micron, SK Hynix и неизвестен производител (производителят беше не е посочено на 4 чипа). За сравнение, методът TRRespass, предложен преди това от същите изследователи, е ефективен само за 13 от 42 чипа, тествани по това време.

Като цяло се очаква методът на Blacksmith да се приложи към 94% от всички DRAM чипове на пазара, но изследователите казват, че някои чипове са по-уязвими и по-лесни за атака от други. Използването на кодове за коригиране на грешки (ECC) в чиповете и удвояването на честотата на опресняване на паметта не осигурява пълна защита, но усложнява работата. Трябва да се отбележи, че проблемът не може да бъде блокиран във вече пуснати чипове и изисква внедряването на нова защита на хардуерно ниво, така че атаката ще остане актуална в продължение на много години.

Практическите примери включват методи за използване на Blacksmith за промяна на съдържанието на записи в таблицата на страницата на паметта (PTE, запис в таблицата на страницата), за да получите привилегии на ядрото, повреждайки публичния ключ RSA-2048, съхранен в паметта в OpenSSH (можете да въведете публичния ключ в чужда виртуална машина, за да съпостави частния ключ на атакуващия, за да се свърже с виртуалната машина на жертвата) и да заобиколи проверката на идентификационните данни, като модифицира паметта на процеса sudo, за да получи root привилегии. В зависимост от чипа, отнема от 3 секунди до няколко часа време за атака, за да се промени един целеви бит.

Освен това можем да отбележим публикуването на отворената рамка LiteX Row Hammer Tester за тестване на методите за защита на паметта срещу атаки от клас RowHammer, разработена от Antmicro за Google. Рамката се основава на използването на FPGA за пълен контрол на командите, предавани директно към DRAM чипа, за да се елиминира влиянието на контролера на паметта. Предлага се инструментариум в Python за взаимодействие с FPGA. Базираният на FPGA шлюз включва модул за пакетен трансфер на данни (дефинира шаблони за достъп до паметта), Payload Executor, базиран на LiteDRAM контролер (обработва цялата логика, необходима за DRAM, включително активиране на редове и актуализиране на паметта) и VexRiscv CPU. Разработките на проекта се разпространяват под лиценз Apache 2.0. Поддържат се различни FPGA платформи, включително Lattice ECP5, Xilinx Series 6, 7, UltraScale и UltraScale+.

Източник: opennet.ru