Paměťové čipy DDR4 zůstávají náchylné k útokům RowHammer, navzdory přidané ochraně.

Skupina výzkumníků z Amsterdamské svobodné univerzity, Švýcarského federálního technologického institutu v Curychu a společnosti Qualcomm provedli zkoumá účinnost ochrany proti útokům třídy, která se používá v moderních DDR4 čipech RowHammer, které umožňují změnit obsah jednotlivých bitů dynamické operační paměti (DRAM). Výsledky byly nepříznivé a čipy DDR4 hlavních výrobců jsou stále zranitelné ( CVE-2020-10255Zranitelnost RowHammer umožňuje zkreslit obsah jednotlivých bitů paměti cyklickým čtením dat z sousedních buněk paměti. Protože DRAM paměť představuje dvourozměrné pole buněk, z nichž každá se skládá z kondenzátoru a tranzistoru, neustálé čtení stejné oblasti paměti vede k fluktuacím napětí a anomáliím, které způsobují malé ztráty náboje v sousedních buňkách. Pokud je intenzita čtení dostatečně vysoká, může buňka ztratit dostatečné množství náboje a následující regenerace nestihne obnovit její původní stav, což povede ke změně hodnoty uložené v této buňce.).

Pro blokování tohoto efektu se v moderních DDR4 čipech používá technologie TRR (Target Row Refresh), která má zabránit zkreslení buněk při provádění útoků typu RowHammer. Problém je v tom, že neexistuje jednotný přístup k implementaci TRR a každý výrobce CPU a paměti interpretuje TRR po svém, aplikuje vlastní varianty ochrany a nezveřejňuje podrobnosti implementace.

Studium metod blocírování RowHammer u výrobců umožnilo snadno najít cesty k obcházení ochrany. Při kontrole bylo zjištěno, že praktikovaný princip „
bezpečnost prostřednictvím nejasnosti(security by obscurity) při implementaci TRR pomáhá pouze pro ochranu v konkrétních případech, které pokrývají typové útoky manipulující se změnou náboje buněk v jedné nebo dvou sousedních řádcích. (security by obscurity) při realizaci TRR pomáhá pouze k ochraně v soukromých případech, pokrývajících typové útoky, manipulující změnou náboje buněk v jedné nebo dvou sousedních řadách.

Nástroj vyvinutý výzkumníky umožňuje testovat zranitelnost čipů vůči víceúrovňovým variantám útoku RowHammer, při kterém se pokus o ovlivnění náboje provádí současně pro několik řádků paměťových buněk. Takovéto útoky umožňují obcházet ochranu TRR implementovanou některými výrobci a vedou k poškození bitů paměti i na novém zařízení s pamětí DDR4.
Z 42 zkoumaných DIMM modulů se 13 modulů ukázalo být zranitelných vůči nekonvenčním variantám útoku RowHammer, navzdory proklamované ochraně. Problematické moduly byly vyrobeny společnostmi SK Hynix, Micron a Samsung, jejichž produkty pokryly 95% trhu DRAM.

Kromě DDR4 byly zkoumány také čipy LPDDR4 používané v mobilních zařízeních, které se také ukázaly být citlivé na rozšířené varianty útoku RowHammer. Konkrétně byla na problém citlivá paměť používaná ve smartphonech Google Pixel, Google Pixel 3, LG G7, OnePlus 7 a Samsung Galaxy S10.

Výzkumníci byli schopni na problémových čipech DDR4 reprodukovat několik technik exploitace. Například použití RowHammer-exploitu pro PTE (Page Table Entries) vyžadovalo pro získání privilegovaných práv jádra provést útok v rozmezí od 2,3 sekundy do tří hodin patnácti sekund, v závislosti na testovaných čipech. Útok na poškození uloženého otevřeného klíče RSA-2048 trval od 74,6 sekundy do 39 minut 28 sekund. Útok na obcházení ověření oprávnění prostřednictvím modifikace paměti procesu sudo trval 54 minut 16 sekund.

Pro kontrolu pamětí DDR4 používaných uživateli byla publikována utilita TRRespass. Pro úspěšnou realizaci útoku je potřeba informace o použití fyzických adres v řadiči paměti vázané na banky a řádky paměťových buněk. Pro stanovení rozložení byla dále vyvinuta utilita drama, která vyžaduje spuštění s právy root. V nejbližší době také plánuje publikovat aplikaci pro testování paměti smartphones.

Společnosti Intel a AMD Byli doporučeni pro ochranu používat paměť s korekcí chyb (ECC), paměťové řadiče se podporou Maximum Activate Count (MAC) a aplikovat zvýšenou frekvenci regenerace. Vědci však tvrdí, že pro již vydané čipy neexistuje řešení, které by zaručilo ochranu proti Rowhammer, a použití ECC a zvýšení frekvence regenerace paměti se ukázalo jako neefektivní. Například již byl navržen způsob útoku na DRAM paměť obcházející ochranu ECC, a také byla prokázána možnost provést útok na DRAM přes lokální sítě, z hostitelského systému a pomocí spuštění JavaScriptu v prohlížeči.

Zdroj: opennet.ru