DDR4 mälupidavad jäävad RowHammer rünnakutele haavatavaks, vaatamata lisatud kaitsele.

Amsterdam Free University, ETH Zurich ja Qualcommi teadlaste grupp läbi uuringu efektiivsuse kohta, mida kasutatakse kaasaegsete DDR4 mächipide kaitseks rünnakute vastu RowHammer, mis võimaldavad muuta dünaamilise juhusliku juurdepääsu mälu (DRAM) üksikute bitide sisu. Tulemused olid kahjuks ebaõnnestunud ja peamised DDR4 mäetootjate chipid on endiselt ole praegu haavatavad (CVE-2020-10255).

RowHammer haavatavus võimaldab muuta üksikute mälubitide sisu, lugedes andmeid järjestikku naabermälu rakkudest. Kuna DRAM-mälu koosneb kahe mõõtmelise rakkude massiivi, mis koosneb igaüks kondensaatorist ja transistorist, viib pidev sama mälu piirkonna lugemine pingefluktatsioonide ja anomaaliate esinemiseni, mis põhjustavad naaberrakkude väikese laengukaotuse. Kui lugemise intensiivsus on piisavalt suur, võib rakk kaotada piisavalt palju laengut, ja järgmine regenereerimise tsükkel ei suuda taastada selle algset seisundit, mis viib salvestatud andmete väärtuse muutumiseni.

Moderne DDR4 kiipide puhul kasutatakse RowHammeri rünnete tõkestamiseks TRR (Target Row Refresh) tehnoloogiat, mis on mõeldud mälurakkude moonutamise ennetamiseks. Probleem seisneb selles, et TRR rakendamise osas pole ühtegi ühtset lähenemist ning iga CPU ja mälu tootja tõlgendab TRR-d omamoodi, rakendades oma kaitsevariandid ja avalikustamata rakenduse üksikasju.
Tootjate RowHammeri tõkestamise meetodite uurimine on leidnud lihtsad viisid kaitse ületamiseks. Kontrollimise käigus selgus, et tootjate praktiseeritud põhimõte „turvalisus läbi ebaselguse (security by obscurity) TRR rakendamisel aitab ainult erandlike olukordade kaitsmisel, mis katab tüüpilisi rünnakuid, mis manipuleerivad kaheteise mäluraku laengute muutmisega.

Teadlaste loodud utiliit võimaldab kontrollida kiipide haavatavust mitmekesiste RowHammeri rünnakute suhtes, kus laadimise mõju üritatakse kohe mitmele mäluridadele. Sellised rünnakud võimaldavad mööda minna mõnede tootjate rakendatud TRR-kaitset ja viivad mälu bittide moonutamiseni isegi uutel DDR4 mäluseadmetel.
Neljakümne kahest uuritud DIMM-moodulist 13 moodulit osutusid RowHammeri rünnakute ebarahuldavate variantide suhtes haavatavaks, vaatamata deklareeritud kaitsele. Probleemsed moodulid on tootnud SK Hynix, Micron ja Samsung, kelle tooted katab 95% DRAM turust.

Peale DDR4 uuriti ka mobiilseadmetes kasutatavaid LPDDR4 kiipe, mis leidsid samuti tundlikkuse laiendatud RowHammeri rünnakute suhtes. Eelkõige osutus probleemseks mälu, mida kasutatakse Google Pixel, Google Pixel 3, LG G7, OnePlus 7 ja Samsung Galaxy S10 nutitelefonides.

Teadlased suutsid probleemsetes DDR4 kiipides paljusid ekspluatatsioonitehnikaid uuesti luua. Näiteks RowHammeri rakendamine-eksploid PTE (Page Table Entries) jaoks oli tuumapääsu ründamiseks vajalik aega 2.3 sekundist kuni kolme ja poole tunnini, olenevalt testitavatest kiipidest. Rünne RSA-2048 avaliku võtme mälu kahjustamise rünne kestis 74.6 sekundist kuni 39 minuti ja 28 sekundini. Rünne sudo protsessi mälumuudatustega õiguste kontrolli ümbersuunamise rünne kestis 54 minutit ja 16 sekundit.

DDR4 mächipside kasutamise kontrollimiseks on avalikustatud utiliit TRRespass. Rünnaku edukaks teostamiseks on vajalik teave füüsiliste aadresside jaotuse kohta mälukontrolleris, seostatuna mälupankade ja ridadega. Jaotuse määramiseks on täiendavalt välja töötatud utiliit drama, mis nõuab juurõigustega käivitamist. Lähipäevil avaldatakse ka rakendus nutitelefonide mälu testimiseks. toetada avalda nutitelefonide mälutesti rakendust.

Ettevõte Intel ja AMD soovitati kaitse tagamiseks kasutada vigade parandusega mälu (ECC), mälu kontrollerite maksimaalse aktiveerimise arvu (MAC) toetust ja rakendada suurenenud regeneratsioonifrekventsi. Uurijad usuvad, et juba välja antud kiipide puhul puudub lahendus Rowhammer'i garantii kaitsmiseks, ja ECC kasutamine ja mälu regeneratsioonifrekventside suurendamine on osutunud ebaefektiivseks. Näiteks on varem juba pakutud meetodit DRAM-mälu rünnaku jaoks ECC kaitse kõrvalehoidmiseks, samuti on näidatud võimalust rünnata DRAM-i kohalikku võrku, läbi külalissüsteemi ja kasutades JavaScripti käivitamise kaudu brauseris.

Allikas: opennet.ru