ZenHammer - метод за атака за повреждане на съдържанието на паметта на AMD Zen платформи

Изследователи от ETH Zurich са разработили атаката ZenHammer, вариант на класа атаки RowHammer за модифициране на съдържанието на отделни битове на динамична памет с произволен достъп (DRAM), адаптирана за използване на платформи с AMD процесори. Минали атаки на RowHammer бяха ограничени до системи, базирани на процесори Intel, но изследванията показаха, че повреда на паметта може да бъде постигната и на платформи с контролери на паметта AMD.

Методът беше демонстриран на системи AMD Zen 2 и Zen 3 с DDR4 памет от три водещи производителя (Samsung, Micron и SK Hynix). Атаката успешно заобикаля механизма TRR (Target Row Refresh), внедрен в чиповете памет, който е насочен към защита срещу повреда на клетките на паметта в съседни редове. Според изследователите системите, базирани на процесори AMD Zen 3, са по-уязвими от системите с процесори Intel Coffee Lake и са по-лесни и по-ефективни за атака. При системите AMD Zen 2 изкривяването на клетките е постигнато за 7 от 10 тествани DDR4 чипове, а при системите Zen 3 за 6 от 10. Изследователите също анализираха възможността за атака срещу системи AMD Zen 4 с DDR5 памет, но атаката Методът, разработен за DDR4, беше успешно възпроизведен само на 1 от 10 тествани DDR5 чипа с памет, докато възможността за самата атака не е изключена, но изисква разработването на по-ефективни модели на четене, подходящи за DDR5 устройства.

За да работят с AMD чипове, те успяха да адаптират предварително разработени експлойти, които променят съдържанието на записи в таблицата на страниците с памет (PTE, запис в таблицата на страниците), за да получат привилегии на ядрото, да заобиколят проверките за парола/авторитет чрез модифициране на паметта на sudo процеса и повредете публичния ключ RSA-2048, съхранен в паметта на OpenSSH, за да създадете отново частния ключ. Атаката на страницата на паметта беше възпроизведена на 7 от 10 тествани DDR4 чипа, атаката с ключ RSA на 6 чипа и sudo атаката на 4 чипа, с времена на атака съответно 164, 267 и 209 секунди.

Методът може да се използва и за атака на система чрез браузъри, за извършване на промени от виртуални машини или за стартиране на атака през мрежа. Изходният код за инструментариума DARE за обратно инженерство на оформлението на адресите в DRAM паметта е публикуван в GitHub под лиценз на MIT, както и два набора от помощни програми за тестване на размити битове в паметта - ddr4_zen2_zen3_pub за DDR4 чипове (Zen 2 и Zen 3) и ddr5_zen4_pub за DDR5 чипове ( Zen 4), които могат да се използват за тестване на техните системи за податливост на атаки.

Методът RowHammer се използва за изкривяване на битове, който се основава на факта, че в DRAM паметта, която е двуизмерен масив от клетки, състоящ се от кондензатор и транзистор, извършването на непрекъснати четения на една и съща област на паметта води до колебания на напрежението и аномалии, които причиняват малка загуба на заряд на съседни клетки. Ако интензитетът на четене е висок, тогава съседната клетка може да загуби достатъчно голямо количество заряд и следващият цикъл на регенерация няма да има време да възстанови първоначалното си състояние, което ще доведе до промяна в стойността на данните, съхранявани в клетката . Изследователят идентифицира характеристиките на картографирането и синхронизирането на физическата памет с механизмите за актуализиране на паметта, използвани в процесорите на AMD, което направи възможно пресъздаване на DRAM адресиране на ниско ниво, определяне на адресите на съседни клетки, разработване на методи за заобикаляне на кеширането и изчисляване на модели и честота на операции, които водят до загуба на заряд.

За защита срещу RowHammer, производителите на чипове използват механизма TRR (Target Row Refresh), който блокира повредата на клетката в специални случаи, но не предпазва от всички възможни опции за атака. Най-ефективният метод за защита остава използването на памет с кодове за коригиране на грешки (ECC), които значително усложняват, но не напълно елиминират атаките на RowHammer. Увеличаването на честотата на регенериране на паметта също може да намали вероятността от успешна атака.

AMD публикува доклад по проблема, в който се посочва, че AMD процесорите използват контролери на паметта, които отговарят на DDR спецификациите, и тъй като успехът на атаката зависи основно от системните настройки и DRAM паметта, въпросите за разрешаване на проблема трябва да бъдат насочени към производителите на памети и системи Съществуващите начини за усложняване на атаките от клас Rowhammer включват използване на ECC памет, увеличаване на честотата на регенериране на паметта, деактивиране на режима на отложено регенериране и използване на процесори с контролери, които поддържат MAC (Maximum Activate Count) режим за DDR4 (1-ва, 2-ра и 3-та поколение AMD EPYC "Naple ", "Rome" и "Milan") и RFM (Refresh Management) за DDR5 (4-то поколение AMD EPYC).

Източник: opennet.ru