Blacksmith — uus rünnak DRAMi mälule ja DDR4 kiipidele

Šveitsi Federal Engineering Schooli, Amsterdam Free University'i ja Qualcommi teadlaste grupp avaldas uue RowHammer ründe meetodi, mis võimaldab muuta dünaamilise mälu (DRAM) üksikute bittide sisu. Rünnakule on antud koodnimi Blacksmith ja identifikaator CVE-2021-42114. Paljud DDR4 kiibid, millel on kaitse varem teadaolevate RowHammer meetodite vastu, on selle probleemiga haavatavad. Oma süsteemide haavatavuse testimiseks mõeldud tööriistakomplekt on avaldatud GitHubis.

Tuletame meelde, et RowHammer-tüüpi rünnakud võimaldavad moonutada üksikute mälu bittide sisu, lugedes tsükliliselt andmeid naabermälu rakkudest. Kuna DRAM mälu on kahe mõõtmega rakkude massiiv, millest igaüks koosneb kondensaatorist ja transistorist, toob sama mäluala pidev lugemine kaasa pingefluktuatsiooni ja anomaaliaid, mis põhjustavad naaberrekku väikese laadimise kadumise. Kui lugemisintensiivsus on suur, võib naaberrekku kaotada piisavalt suures koguses laengut, ja järgmine regeneratsioonitsükkel ei jõua taastada selle algset seisundit, mis toob kaasa selle raku andmete väärtuse muutumise.

RowHammeri kaitsmiseks on kiibitootjad välja pakkunud TRR (Target Row Refresh) mehhanismi, mis kaitseb naaberridade rakke moonutuste eest. Kuid kuna see kaitses põhines nähtamatu ohutuse põhimõttel, ei lahendanud see probleemi juurepidi ning kaitses ainult tuntud erijuhtude eest, lubades hõlpsalt leida kaitse ringe. Näiteks mai kuus pakkus Google Half-Double meetodi, mis ei olnud TRRi kaitse all, kuna rünnaku käigus sai kahjustada rakke, mis ei olnud otse sihtmärgiga külgnev.

Uus meetod Blacksmith pakub teistsugust lähenemist TRRi kaitse ületamiseks, mis põhineb kahe või enama agressiivse rea ebaühtlasel käsitlemisel erineva sagedusega, et tekitada laengu lekkimist. Laengu lekke põhjustava mäluelevi mustri määramiseks on välja töötatud spetsiaalne fuzzer, mis valib automaatselt rünnaku parameetrid konkreetse kiibi jaoks, varieerides rakkudele juurdepääsu järjekorda, intensiivsust ja süsteemsust.

Sarnane lähenemine, mis ei ole seotud ühe ja sama mäluraku mõjuga, muudab TRR-i kaitsemeetodid ebaefektiivseks. Need meetodid tuginevad mälurakkudele tehtud korduvate pöördumiste arvu lugemisele ning teatud arvude saavutamisel naaberakkude ülelaadimise algatamisele. Blacksmithi all pääsuga malle jagatakse kohe mitme raku vahel, mis asuvad erinevatelt külgedelt sihtmärgist, võimaldades laadimise leket ilma künniste saavutamiseta.

Meetod on osutunud märkimisväärselt efektiivsemaks kui varasemad TRR-i ületamise viisid — teadlastel õnnestus häirida 40 hiljuti ostetud erineva DDR4 mächipi tootjat, sealhulgas Samsung, Micron, SK Hynix ja tundmatu tootja (4-chipil tootja ei olnud märgitud). Võrdluseks, varasemalt neid samme üritanud meetod TRRespass oli efektiivne vaid 13 42 testitud chipi korral.

Üldiselt arvatakse, et Blacksmith meetod on rakendatav 94% kõikidest turul olevatest DRAM-kiipidest, kuid teadlaste teatel on mõned kiibid haavatavamad ja lihtsamad rünnaku sihtmärgid kui teised. Veakorrekteerimise koodide (ECC) rakendamine kiipides ja mälue värskendussageduse kahekordistamine ei paku täielikku kaitset, kuid muudab rünnakute sooritamise keerukamaks. On tähelepanuväärne, et probleemi ei saa juba turule lastud kiipides blokeerida ja see nõuab uue riistvarapõhise kaitse rakendamist, mistõttu jääb rünnak aktuaalseks veel paljude aastateks.

Praktiliste näidetena on toodud Blacksmithi rakendamise meetodid mälulehe sisu muutmiseks (PTE, page table entry) tuumaproviliigi saamiseks, OpenSSH-s salvestatud RSA-2048 avaliku võtme kahjustamine (avalikku võtit saab sobitada ründaja privaatvõtmega, et pääseda häkkija VM-le) ja autoriseerimise kontrollimise mööda minemine sudo protsessi mälu muutmise kaudu, et saada root-i õigusi. Kiibist sõltuvalt vajab ühe sihtbiti muutmine 3 sekundit kuni mitme tunni pikkust rünnakut. virtuaalmasinas suurte võtmete vastavusse viimise rünnaku kaudu, et liituda ohvri VM-iga) ja õiguste kontrollimise mööda saamise kaudu sudo protsessi mälu muutmisega, et saada root-õigusi. Sõltuvalt kiibist võib ühe sihtbiti muutmiseks vajalik olla rünnaku läbiviimiseks 3 sekundist mitu tundi.

Lisaks tasub välja tuua avatud raamistik LiteX Row Hammer Tester, mis on välja töötatud Google'i tellimusel ettevõtte Antmicro poolt, et testida mälukaitsemeetodeid RowHammer rünnakute vastu. Raamistik põhineb FPGA kasutamisel, et täielikult juhtida käske, mis edastatakse otse DRAM kiibile, välistades mälu kontrolleri mõju. FPGA-ga suhtlemiseks pakutakse tööriistu Pythonis. FPGA baasil olev värav sisaldab andmeedastuse moodulit (mis määrab mälule juurdepääsuharjumused), Payload Executor'i, LiteDRAM baasil oleva kontrolleri (mis töötleb kogu DRAM-i loogikat, sealhulgas ridade aktiveerimist ja mälu värskendamist) ja VexRiscv CPU-d. Projekti tulemused levitatakse Apache 2.0 litsentsi alusel. Toetatakse erinevate FPGA platvormide, sealhulgas Lattice ECP5, Xilinx seeriate 6, 7, UltraScale ja UltraScale+, kasutamist.

Allikas: opennet.ru