GDDRHammeri ja GeForge'i rünnakud, mis moonutavad GPU mälu, et pääseda kogu CPU mälu juurde

Mitmekeelsed teadlased mitmest Ühendriikide ja Austraalia ülikoolist on välja töötanud kaks Rowhammer klassi rünnakut - GDDRHammer ja GeForge, mis võimaldavad CUDA mitteprivilegeeritud tuuma käitamisel NVIDIA GPU-l moonutada üksikute bitide sisu GDDR videomälus. Erinevalt eelmisel aastal esitatud meetodist GPUHammer, ei ole need uued rünnakud piiratud ainult GPU mälus töödeldavate andmete mõjutamisega, vaid võimaldavad täieliku juurdepääsu kogu peamisele mälule, mis kuulub CPU aadressiruumi. Teadlased on näidanud väärkasutuse näiteid, mis võimaldavad juurdepääsu peamisele süsteemile, kui käitatakse mitteprivilegeeritud CUDA tuuma GPU-l.

Mõlemad rünnakud saavutavad varase laadimiskao teatud videomälu rakkudes, millele ründajatel ei ole otseseid õigusi, mis viib nende rakkude bitide muutumiseni. Võime lugeda ja kirjutada mällu, mis kuulub CPU aadressiruumi, on saavutatav GPU mälu jaoturi (cudaMalloc) töö häirimise kaudu, et rikkuda GPU mälueeskirju ja kaardistada GPU virtuaalaadresse suvalistele füüsilise mäluga GPU või CPU aadressidele.

Sekkumine toimub GPU mälu lehtede tabelites hoitavate bitiväärtuste moonutamise kaudu, mis vastutavad virtuaalsete aadresside tõlkimise eest füüsilistesse aadressidesse. Rünnakud GDDRHammer ja GeForge erinevad selles, et GDDRHammer meetod muudab viimase taseme lehtede tabelit (PT — Last Level Page Table), samas kui GeForge meetod muudab viimase taseme lehtede katalooge (PD0 — Last Level Page Directory).

Üksikasjalikult kasutatakse neid aadresside tõlketabeleid GPU otsese juurdepääsu korraldamiseks CPU mälule. Seega, kui muuta GPU lehtede tabelis aadress füüsiliseks aadressiks põhimenüüs ja aktiveerida APERTURE lipp, mis võimaldab CPU mälu kaardistamise režiimi, on võimalik lugeda ja kirjutada andmeid PCIe bussiga põhimenüüsse, kui IOMMU on välja lülitatud (vaikimisi on see välja lülitatud).

Edukad rünnakud on demonstreeritud kõrge jõudlusega professionaalsetel NVIDIA RTX A6000 graafikakaartidel, mis põhinevad Ampere mikroarhitektuuril (uus kaart maksab alates 6850 $, kasutatud alates 4000 $) ja kodumudelitel NVIDIA RTX 3060 (250-300 $). Arendatud Rowhammer'i kaitse ümbersõidutehnika koos GPU-s pakutud operatsioonide paralleelimise vahendite kasutamisega on võimaldanud 64 korda suurendada rakenduste katkestamise sagedust võrreldes eelmiste rünnakutega. Ajutise meetmena rünnakute blokeerimiseks saab käivitada „nvidia-smi -e 1” käsu abil ECC (Error Correcting Codes) veakorrektiivrežiimi, kuid see toob kaasa lisakulusid ja võib olla potentsiaalselt ümbersõidetav, kasutades selliseid rünnakutehnikaid nagu ECCploit ja ECC.fail.

RowHammeri rünnak võimaldab rikutud DRAMi mälu üksikute bittide sisu, lugedes andmeid pidevalt naabermälu rakkudest. DRAM mälu on kahemõõtmeline rakkude massiiv, kus iga rakk koosneb kondensaatorist ja transistorist. Ühe ja sama mäluala pidev lugemine põhjustab pingefluktuatsioone ja anomaaliaid, mis põhjustavad naaberakkude väikest laengukaotust. Kui lugemise intensiivsus on kõrge, võib naaberakk kaotada piisavalt suures koguses laengut, nii et järgmine regenereerimise tsükkel ei suuda taastada selle algset olekut, mis viib talletatud andmete muutumiseni.

Rowhammeri rünnaku meetod pakuti välja 2014. aastal, mille järel algas turva-uuringute ja riistvaratootjate vahel mäng «kass ja hiir» — mälukiipide tootjad püüdsid haavatavust blokeerida, samas kui uurijad leidsid uusi viise selle ületamiseks. Näiteks RowHammeri eest kaitsmiseks lisasid kiibitootjad mehhanismi TRR (Target Row Refresh), kuid selgus, et see blokeerib rakkude moonutamise vaid erandlikel juhtudel, kuid ei kaitse kõigi võimalike rünnakute eest. Rünnakumeetodeid on arendatud DDR3, DDR4 ja DDR5 kiipide jaoks Intel, AMD ja ARM protsessoritega süsteemides, samuti NVIDIA GPU GDDR-mälu jaoks. Lisaks on leitud viise ECC vigade paranduse ületamiseks ja pakutud rünnakute sooritamise võimalusi võrgu kaudu ning JavaScripti koodi täitmise kaudu brauseris.

Allikas: opennet.ru