A kutatócsoport a Zürichi Műszaki Egyetem, az Amsterdam Free University és a Qualcomm részéről közzétette egy új RowHammer típusú támadási módszert, amely lehetővé teszi a dinamikus RAM (DRAM) egyes bitjeinek tartalmának megváltoztatását. A támadás kódneve Blacksmith, a CVE-2021-42114 azonosítóval rendelkezik. Számos DDR4 chip érintett, amelyek védelmet kaptak a korábban ismert RowHammer támadási módszerek ellen. Az eszközkészlet a rendszereik sebezhetőségének tesztelésére közzétételre került a GitHubon.
Emlékeztetőül, a RowHammer típusú támadások lehetővé teszik az egyes memória bitek tartalmának eltorzítását azáltal, hogy ciklikusan olvasnak adatokat a szomszédos memória cellákból. Mivel a DRAM memória kétdimenziós cella tömböt képez, amely mindegyike kondenzátorból és tranzisztorból áll, a memória egy adott területének folyamatos olvasása feszültségingadozásokat és rendellenességeket okoz, amelyek kis mértékű töltésveszteséget idéznek elő a szomszédos cellákban. Ha az olvasás intenzitása magas, a szomszédos cella elegendő töltést veszíthet, és a megújítási ciklus nem tudja helyreállítani az eredeti állapotát, ami a cellában tárolt adatok értékének megváltozásához vezet.
A RowHammer védelme érdekében a chipgyártók a TRR (Target Row Refresh) mechanizmust javasolták, amely megakadályozza a szomszédos sorok celláinak eltorzulását. Azonban mivel a védelem az „átláthatóság általi biztonság” elvén alapult, alapvetően nem oldotta meg a problémát, és csak a korábban ismert speciális esetek ellen nyújtott védelmet, ezáltal könnyen megtalálhatóak voltak a védelem kikerülésének lehetőségei. Például májusban a Google egy Half-Double módszert javasolt, amely ellen a TRR védelem nem volt hatékony, mivel a támadás által közvetlenül nem szomszédos cellákat érintett.
Az új Blacksmith módszer egy másik megközelítést javasol a TRR védelem kikerülésére, amely a két vagy több sor-aggregátorral való eltérő gyakoriságú manipulációra épít a töltésveszteség előidézése érdekében. A memória hozzáférési mintázatának meghatározására, amely töltésveszteséghez vezet, egy speciális fuzzert dolgoztak ki, amely automatikusan beállítja a támadási paramétereket az adott chiphez, változtatva a cellákhoz való hozzáférés sorrendjét, intenzitását és rendszerességét.
Egy hasonló támadás, amely nem érinti ugyanazokat a cellákat, hatástalanná teszi a jelenlegi TRR védelmi módszereket, amelyek valahol a cellákhoz való ismétlődő hozzáférések számának számítására épülnek, és amikor egy bizonyos mennyiséget elérnek, a szomszédos cellák újratöltését indítják el. A Blacksmith esetében a hozzáférési minta azonnal több cellára oszlik el a célcellától eltérő oldalakon, lehetővé téve a töltés szivárgását a küszöbértékek elérése nélkül.
A módszer jelentősen hatékonyabb, mint a korábban javasolt TRR megkerülési módszerek — a kutatók 40 nemrégiben megvásárolt, különböző DDR4 RAM chipen, amelyeket a Samsung, Micron, SK Hynix és egy ismeretlen gyártó készített (4 chip gyártóját nem tüntették fel), sikeresen elértek bitdeformációt. Összehasonlítva az ugyanazon kutatók által korábban javasolt TRRespass módszer csupán 13 a tesztelt 42 chipből bizonyult hatékonynak.
Általános értelemben a Blacksmith módszert a piacon lévő DRAM chipek 94%-ára alkalmazhatónak tartják, de a kutatók szerint némelyik chip sebezhetőbb és könnyebben támadható, mint mások. Az ECC hibajavító kódok és a memóriafrissítés duplázása chipek esetében nem biztosít teljes védelmet, de bonyolultabbá teszi a támadást. Érdemes megjegyezni, hogy a probléma nem blokkolható a már forgalomban lévő chipekben, és új védelmi intézkedések hardver szintű megvalósítását igényli, ezért a támadás még évekig aktuális marad.
Gyakorlati példaként bemutatjuk a Blacksmith módszer alkalmazását a memória oldalbejegyzéseinek (PTE, page table entry) módosítására a kernel jogosultságok megszerzéséhez, a memória tárolt RSA-2048 nyilvános kulcsának károsítására az OpenSSH-ben (a nyilvános kulcs összekapcsolható a támadó zárt kulcsával a cél VM-hez való csatlakozáshoz) és a jogosultságok ellenőrzésének megkerülésére a sudo folyamat memóriájának módosításán keresztül a root jogosultságok megszerzéséhez. A chip típusától függően egy célbit megváltoztatásához 3 másodperctől több óráig terjedő támadásra van szükség. virtuális gépben Egy célbit megváltoztatásához a chip típusától függően 3 másodperctől több óráig terjedő idő szükséges, függően attól, hogy milyen chip áll rendelkezésre.
Továbbá megemlíthetjük a LiteX Row Hammer Tester nyílt keretrendszer kiadását, amely a memória védelmi módszereit teszteli a RowHammer típusú támadások ellen, a Google megbízásából az Antmicro által fejlesztve. A keretrendszer FPGA-ra épül, amely lehetővé teszi a parancsok teljes körű irányítását, közvetlenül a DRAM chipbe, a memória vezérlő hatásának kiküszöbölése érdekében. Az FPGA-val való interakcióhoz Python nyelvű eszközkészlet áll rendelkezésre. Az FPGA alapú átjáró magában foglal egy modult az adatok tételes átviteli kezelésére (meghatározza a memória elérésének mintáit), egy Payload Executor-t, egy LiteDRAM alapú vezérlőt (kezeli a DRAM működéséhez szükséges összes logikát, beleértve a sorok aktiválását és a memória frissítését), valamint a VexRiscv CPU-t. A projekt eredményei az Apache 2.0 licenc alatt terjesztésre kerülnek. Támogatott a különböző FPGA platformok használata, beleértve a Lattice ECP5-öt, a Xilinx 6, 7, UltraScale és UltraScale+ sorozatokat.
Forrás: opennet.ru
