Blacksmith — uus rünnak DRAM-mälu ja DDR4-kiipide vastu

Šveitsi Liidu Tehnikaülikooli, Amsterdam Free Ülikooli ja Qualcommi teadlaste rühm on avaldanud uue RowHammer-rünnakute meetodi, mis võimaldab muuta dünaamilise RAM-i (DRAM) üksikute bittide sisu. Rünnakule on antud koodnimi Blacksmith ja ID CVE-2021-42114. Probleemi all kannatavad paljud DDR4-kiibid, mis on varustatud rünnakute eest kaitsevahenditega, mis on suunatud varem tuntud RowHammer-rünnakute vastu. Tööriist komplekti testimiseks oma süsteemide haavatavuse suhtes on avaldatud GitHubis.

Meenus, et RowHammer-rünnakud võimaldavad moonutada mälu üksikute bittide sisu, lugedes andmeid pidevalt naabermälu rakkudest. Kuna DRAM-mälu on kahe dimensiooniga rakkude rida, kus iga rakk koosneb kondensaatorist ja transistorist, toob pidev sama mäluala lugemine kaasa pingefluktatsioonid ja anomaaliad, mis põhjustavad naaberrakkude väikest laengu kadu. Kui lugemise intensiivsus on kõrge, võib naaberakk kaotada piisavalt suurt laenguhulka ja järgmiseks taastamisringiks ei piisa ajastust, et taastada selle algne seisund, mis toob kaasa salvestatud andmete muutumise.

RowHammeri kaitseks on kiibitootjad pakkunud TRR (Target Row Refresh) mehhanismi, mis kaitseb naaberread ebaaususe eest, kuid kuna kaitse põhines "turvalisusel ebamugavustunde kaudu (security by obscurity)", ei lahendanud see probleemi juurest, vaid kaitses ainult tuntud erijuhtude eest, mis võimaldas kergesti leida kaitse ümberviimise teid. Näiteks mai kuus pakkus Google välja meetodi Half-Double, mis ei olnud TRR-i kaitse all, kuna rünnak hõlmas rakkusid, mis ei olnud otseselt sihtmärgiga külgnev.

Uus meetod Blacksmith pakub teistsugust teed TRR-i kaitse ümbersuunamiseks, mis põhineb mitmekesises lähenemises kahele või enamale agressiivsele reale, et põhjustada laengu kadu. Mälu osutamise mustri määramiseks, mis toob kaasa laengu lekkimise, on välja töötatud spetsiaalne fuzzer, mis automaatselt kohandab rünnakuparametreid konkreetse kiibi jaoks, varieerides rakenduse järjekorda, intensiivsust ja süsteemset lähenemist rakkudele.

Sarnane rünnak, mis ei ole seotud sama mäluraku mõjutamisega, muudab TRR-i kaitsemeetodid ebatõhusaks, mis kõik põhinevad korduvate päringute arvestamisel rakkudele ning teatud piiride saavutamisel naaberrakkude laadimise taaskäivitamise algatamisel. Blacksmithi juures juurdepääsu mall hajub koheselt mitmele rakule tootest eemal, mis võimaldab saavutada laadi leket ilma künniste saavutamiseta.

Meetod osutus märgatavalt efektiivsemaks kui varasemad TRR-i väldimise meetodid — teadlastel õnnestus esimest korda häirida bitte kõigis 40 hiljuti ostetud erinevas Samsungi, Microni, SK Hynixi ja tundmatu tootja (4 kiibil tootjat ei olnud märgitud) DDR4 mälukiibis. Võrdluseks varasemalt pakutud sama uurimisrühma TRRespass meetod osutus efektiivseks vaid 13-l 42 testi läbiviidud kiibil.

Üldiselt eeldatakse, et Blacksmithi meetod on rakendatav 94% kõikidest turul olevatest DRAM-i kiibidest, kuid teadlaste väitel on mõned kiibid haavatavamad ja kergemini rünnatavad kui teised. Vigade paranduse koodide (ECC) ja mäluvärskenduse sageduse kahekordistamise rakendamine kiipides ei paku täielikku kaitset, kuid teeb rünnaku keerulisemaks. Märkimisväärne on see, et probleemide lahendamise meetod ei saa juba välja antud kiipides blokeerida ja nõuab uute kaitsemehhanismide rakendamist riistvaratasemel, mistõttu jääb see rünnak tulevikus veel paljusid aastaid relevantses.

Praktiliste näidete hulka kuuluvad Blacksmithi meetodi rakendamine mälulehtede tabeli (PTE, page table entry) sissekande sisu muutmiseks, et saavutada tuumaprevilige, rikkuda mällu salvestatud RSA-2048 avalikku võtit OpenSSH-s (avalikku võtit saab muuta vastavusse ründaja privaatvõtmega, et luua ühendus ohvri VM-iga) ning autoriteedi kontrollimise läbimine sudo protsessi mälumuudatuste kaudu root õiguste saamiseks. Sõltuvalt kiibist võib ühe sihtbiti muutmiseks kuluda 3 sekundist kuni mitme tunni ründamiseni. virtuaalses masinas Ehitamiseks, ründajate jaoks, eksisteerib võimalus rünnata individuaalselt, kasutades Blacksmithi meetodit avatud privaatvõtme ülekannete tegemiseks ja auku rinde-testid loomiseks, et ellu jääda.

Lisaks tasub märkida Antmicro'i poolt Google'i tellimusel loodud avatud raamistikku LiteX Row Hammer Tester, mis kontrollib mälu kaitsemeetodeid RowHammeri klassi rünnakute eest. Raamistik põhineb FPGA kasutamisel, et hallata käske otse DRAM kiipidesse, vältides mälu kontrolleri mõju. FPGA-ga suhtlemiseks pakutakse tööriistu Pythonis. FPGA-põhine värav sisaldab andmepakettide edastamise moodulit (määra mälu juurde pääsemise mustrid), Payload Executor, LiteDRAM-iga töötleva kontrolleri (käsitleb kogu DRAM-i jaoks vajalikku loogikat, sealhulgas ridade aktiveerimist ja mälu värskendamist) ja CPU VexRiscv. Projekti töötlused jagatakse Apache 2.0 litsentsi alusel. Toetatakse erinevate FPGA platvormide kasutamist, sealhulgas Lattice ECP5, Xilinx Series 6, 7, UltraScale ja UltraScale+.

Allikas: opennet.ru