En gruppe forskere fra ETH Zürich, Vrije Universiteit Amsterdam og Qualcomm har offentliggjort en ny metode for RowHammer-angreb, der gør det muligt at ændre indholdet af individuelle bits i dynamisk RAM (DRAM). Angrebet er tildelt kode-navnet Blacksmith og CVE-2021-42114. Mange DDR4-chips, der er sikret mod tidligere kendte RowHammer-metoder, er sårbare over for dette problem. Et værktøj til at teste ens systemer for sårbarhed er offentliggjort på GitHub.
Husk, at RowHammer-angreb tillader forvrængning af indholdet af individuelle bits i hukommelsen ved at læse data cyklisk fra nærliggende hukommelsesceller. Da DRAM-hukommelsen er et todimensionelt array af celler, hvor hver celle består af en kondensator og en transistor, vil vedvarende læsning af det samme hukommelsesområde medføre spændingsfluktuationer og anomalier, der forårsager et lille ladetab i nabocellerne. Hvis læseintensiteten er høj, kan nabocellen miste en betydelig mængde ladning, så den næste regenerationscyklus ikke kan gendanne dens oprindelige tilstand, hvilket fører til ændringen af de gemte data i cellen.
For at beskytte mod RowHammer foreslog chipproducenterne TRR (Target Row Refresh) mekanismen, der beskytter mod forvrængning af celler i nabostræk, men da beskyttelsen var baseret på princippet 'sikkerhed gennem uklarhed', løste den ikke grundproblemet og beskyttede kun mod kendte specifikke tilfælde, hvilket gjorde det nemt at finde måder at omgå beskyttelsen. For eksempel foreslog Google i maj metoden Half-Double, som ikke blev påvirket af TRR-beskyttelsen, da den berørte celler, der ikke lå direkte ved siden af målet.
Den nye Blacksmith-metode tilbyder en anden måde at omgå TRR-beskyttelsen på, baseret på heterogen adgang med forskellig frekvens til to eller flere aggressor-stræk for at forårsage ladetab. For at bestemme det hukommelsesmønster, der fører til ladetab, er der udviklet en særlig fuzzer, der automatisk justerer angrebsparametre for den specifikke chip ved at variere rækkefølgen, intensiteten og systematikken af adgangen til cellerne.
En sådan tilgang, der ikke er relateret til påvirkning af de samme celler, gør de nuværende TRR-beskyttelsesmetoder ineffektive, idet de i en eller anden form reduceres til at tælle antallet af gentagne adgang til celler og ved opnåelse af bestemte værdier initiere en genopladning af nærliggende celler. I Blacksmith-mønsteret spredes adgangsmønsteret straks over flere celler fra forskellige sider af den målrettede, hvilket muliggør ladningslækage uden at nå tærskelværdierne.
Metoden har vist sig at være betydeligt mere effektiv end tidligere foreslåede måder at omgå TRR — forskerne har formået at forvride bitene i alle 40 nyligt købte forskellige DDR4-hukommelseschips fra Samsung, Micron, SK Hynix og en ukendt producent (for 4 chips var producenten ikke angivet). Til sammenligning viste den tidligere foreslåede metode TRRespass, som blev præsenteret af de samme forskere, sig kun at være effektiv for 13 ud af 42 testede chips på det tidspunkt.
Generelt antages det, at Blacksmith-metoden er anvendelig på 94 % af alle DRAM-chips, der findes på markedet, men ifølge forskerne er nogle chips mere sårbare og lettere at angribe end andre. Brug af fejlkorrigerende koder (ECC) i chipperne og fordobling af hukommelsesopdateringsfrekvensen sikrer ikke fuld beskyttelse, men komplicerer udnyttelsen. Bemærkelsesværdigt er, at problemet ikke kan blokeres i allerede udgivne chips og kræver implementering af ny beskyttelse på hardwareniveau, hvilket gør angrebet relevant i mange år fremover.
Som praktiske eksempler præsenteres metoder til anvendelse af Blacksmith til at ændre indholdet af optegnelser i hukommelsens side-tabel (PTE, page table entry) for at opnå kernetilladelser, beskadige den gemte RSA-2048 offentlige nøgle i OpenSSH (den offentlige nøgle kan bruges til at matche den private nøgle til angriberen for at forbinde til offerets VM) og omgåelse af kompetencekontrol ved at ændre hukommelsen i sudo-processen for at opnå root-rettigheder. Afhængigt af chippen kræver det mellem 3 sekunder til flere timer at ændre et enkelt målbit. virtuelle maskiner I tilfælde af chippen kræver det mellem 3 sekunder og flere timer at udføre angrebet for at ændre en enkelt målbit.
Der skal også nævnes offentliggørelsen af det åbne rammeværk LiteX Row Hammer Tester, der bruges til at teste beskyttelsesmetoder mod RowHammer-angreb, udviklet af virksomheden Antmicro på vegne af Google. Rammeværket er baseret på brugen af FPGA for fuldstændig kontrol over de kommandoer, der sendes direkte til DRAM-chippen for at udelukke indflydelsen fra hukommelseskontrolleren. Til interaktion med FPGA tilbydes værktøjer på Python-sprog. FPGA-baseret gateway inkluderer en modul til batchdataoverførsel (definerer hukommelsesmønstre), Payload Executor, en controller baseret på LiteDRAM (som håndterer al nødvendig logik for DRAM, inklusive aktivering af rækker og opdatering af hukommelse) og CPU VexRiscv. Projektets fremskridt distribueres under Apache 2.0-licensen. Der understøttes brug af forskellige FPGA-platforme, inklusive Lattice ECP5, Xilinx Series 6, 7, UltraScale og UltraScale+.
Kilde: opennet.ru
