Group of researchers from the Vrije Universiteit Amsterdam, ETH Zurich, and Qualcomm study the effectiveness of DDR4 memory protection against class attacks , which allow changing the contents of individual bits in dynamic random-access memory (DRAM). The results were disappointing, and DDR4 chips from major manufacturers remain vulnerable ().
The RowHammer vulnerability allows the contents of individual memory bits to be distorted by cyclically reading data from neighboring memory cells. Since DRAM memory is structured as a two-dimensional array of cells, each consisting of a capacitor and a transistor, continuous reading of the same memory area leads to voltage fluctuations and anomalies that cause a slight loss of charge in neighboring cells. If the reading intensity is high enough, a cell may lose a significant amount of charge, and the next refresh cycle will not be able to restore its original state, resulting in a change in the data stored in the cell.
To block such an effect, modern DDR4 chips employ TRR (Target Row Refresh) technology, designed to prevent cell distortion during a RowHammer attack. The issue is that there is no unified approach to implementing TRR, and each CPU and memory manufacturer interprets TRR differently, applying their own protection variants and not disclosing implementation details.
Studying the methods used by manufacturers to block RowHammer made it easy to find ways to bypass protection. It turned out that the practice of manufacturers adhering to the principle of " " in the implementation of TRR only helps for protection in specific cases involving typical attacks that manipulate the changes in charge of cells in one or two neighboring rows.
Alat razvijen od strane istraživača omogućava provjeru osjetljivosti čipova na višestruke varijante RowHammer napada, u kojima se pokušava utjecati na naplaćivanje više redaka memorijskih ćelija istovremeno. Ovi napadi omogućuju zaobilaženje zaštite TRR koju su implementirali neki proizvođači i dovode do oštećenja bitova memorije čak i na novoj opremi s DDR4 memorijom.
Od 42 proučavana DIMM modula, 13 modula pokazalo se ranjivima na nesvakidašnje načine provođenja RowHammer napada, unatoč najavljenoj zaštiti. Problematične module proizveli su SK Hynix, Micron i Samsung, čiji proizvodi 95% tržišta DRAM-a.
Osim DDR4, proučeni su i čipovi LPDDR4 koji se koriste u mobilnim uređajima, koji su također pokazali osjetljivost na proširene varijante RowHammer napada. Konkretno, podložna problemu bila je memorija koja se koristi u Google Pixel, Google Pixel 3, LG G7, OnePlus 7 i Samsung Galaxy S10 pametnim telefonima.
Istraživači su uspjeli reproducirati nekoliko tehnika eksploatacije na problematičnim DDR4 čipovima. Na primjer, primjena RowHammer-a za PTE (Unosi Tablice Stranica) zahtijevala je da napad traje od 2,3 sekunde do tri sata i petnaest sekundi, ovisno o testiranim čipovima. za oštećenje pohranjenog RSA-2048 otvorenog ključa trajala je od 74,6 sekundi do 39 minuta i 28 sekundi. za zaobilaženje provjere ovlasti putem modifikacije memorije procesa sudo trajala je 54 minute i 16 sekundi.
Za provjeru korisničkih DDR4 memorijskih čipova objavljen je alat . Za uspješnu provedbu napada potrebne su informacije o fizičkom adresnom rasporedu primijenjenom u memorijskom kontroleru, u vezi s bankama i redovima memorijskih ćelija. Za određivanje rasporeda dodatno je razvijen alat , koji zahtijeva pokretanje s root pravima. U najskorije vrijeme bit će također objavljena aplikacija za testiranje memorije pametnih telefona.
Tvrtki i preporučeno je da se za zaštitu koristi memorija s ispravkom grešaka (ECC), memorijski kontroleri s podrškom za Maksimalni Broj Aktivacija (MAC) i primjena povećane učestalosti regeneracije. Istraživači smatraju da za već proizvedene čipove ne postoji rješenje za garanciju zaštite od Rowhammer-a, a primjena ECC-a i povećanje učestalosti regeneracije memorije pokazali su se neučinkovitima. Na primjer, ranije je već predloženo napada na DRAM memoriju zaobići ECC zaštitu, kao i mogućnost napada na DRAM kroz , iz i izvršavanje JavaScript-a u pregledniku.
Izvor: opennet.ru
