שבבי זיכרון DDR4 נשארים פגיעים להתקפות RowHammer למרות הגנה נוספת

צוות חוקרים מהאוניברסיטה החופשית אמסטרדם, ETH ציריך וקוואלקום מוּתַשׁ מחקר של יעילות ההגנה מפני התקפות כיתה בשימוש בשבבי זיכרון DDR4 מודרניים RowHammer, המאפשר לך לשנות את התוכן של סיביות בודדות של זיכרון גישה אקראית דינמית (DRAM). התוצאות היו מאכזבות ושבבי DDR4 מיצרנים גדולים עדיין לְהִשָׁאֵר פגיע (CVE-2020-10255).

הפגיעות של RowHammer מאפשרת פגיעה בתוכן של סיביות זיכרון בודדות על ידי קריאה מחזורית של נתונים מתאי זיכרון סמוכים. מכיוון שזיכרון DRAM הוא מערך דו-ממדי של תאים, שכל אחד מהם מורכב מקבל וטרנזיסטור, ביצוע קריאה רציפה של אותו אזור זיכרון מביא לתנודות מתח וחריגות הגורמות לאובדן מטען קטן בתאים שכנים. אם עוצמת הקריאה גבוהה מספיק, התא עלול לאבד כמות מטען גדולה מספיק ולמחזור ההתחדשות הבא לא יהיה זמן לשחזר את מצבו המקורי, מה שיוביל לשינוי בערך הנתונים המאוחסנים בתא .

כדי לחסום את האפקט הזה, שבבי DDR4 מודרניים משתמשים בטכנולוגיית TRR (Refresh של Target Row), שנועדה למנוע פגיעה בתאים במהלך התקפת RowHammer. הבעיה היא שאין גישה אחת ליישום TRR וכל יצרן מעבד וזיכרון מפרש את TRR בדרכו שלו, מיישם אפשרויות הגנה משלו ואינו חושף פרטי יישום.
לימוד שיטות החסימה של RowHammer המשמשות את היצרנים הקל על מציאת דרכים לעקוף את ההגנה. לאחר בדיקה, התברר כי העיקרון הנהוג על ידי היצרנים "אבטחה באמצעות אי בהירות (אבטחה על ידי ערפול) בעת יישום TRR עוזר רק להגנה במקרים מיוחדים, מכסה התקפות טיפוסיות המבצעות מניפולציות בשינויים במטען של תאים בשורה אחת או שתיים סמוכות.

כלי השירות שפיתחו החוקרים מאפשר לבדוק את רגישותם של שבבים לגרסאות רב-צדדיות של מתקפת RowHammer, שבה נעשה ניסיון להשפיע על המטען עבור מספר שורות של תאי זיכרון בו-זמנית. התקפות כאלה יכולות לעקוף את הגנת TRR המיושמת על ידי חלק מהיצרנים ולהוביל לשחיתות של סיביות זיכרון, אפילו בחומרה חדשה עם זיכרון DDR4.
מתוך 42 רכיבי ה-DIMM שנחקרו, 13 מודולים התבררו כפגיעים לגרסאות לא סטנדרטיות של מתקפת RowHammer, למרות ההגנה המוצהרת. המודולים הבעייתיים יוצרו על ידי SK Hynix, Micron וסמסונג, שמוצריהן מכסים 95% משוק ה-DRAM.

בנוסף ל-DDR4, נחקרו גם שבבי LPDDR4 המשמשים במכשירים ניידים, שהתבררו גם הם כרגישים לגרסאות מתקדמות של מתקפת RowHammer. בפרט, הזיכרון המשמש בטלפונים החכמים של Google Pixel, Google Pixel 3, LG G7, OnePlus 7 ו- Samsung Galaxy S10 הושפע מהבעיה.

חוקרים הצליחו לשחזר מספר טכניקות ניצול על שבבי DDR4 בעייתיים. לדוגמה, באמצעות RowHammer-לְנַצֵל עבור PTE (Page Table Entries) לקח בין 2.3 שניות לשלוש שעות וחמש עשרה שניות להשיג הרשאות ליבה, בהתאם לצ'יפים שנבדקו. התקפה עבור נזק למפתח הציבורי המאוחסן בזיכרון, RSA-2048 ארך מ-74.6 שניות ל-39 דקות ו-28 שניות. התקפה לקח 54 דקות ו-16 שניות לעקוף את בדיקת האישורים באמצעות שינוי זיכרון של תהליך הסודו.

פורסם כלי עזר לבדיקת שבבי זיכרון DDR4 המשמשים את המשתמשים תשובה. כדי לבצע תקיפה בהצלחה, נדרש מידע על פריסת הכתובות הפיזיות המשמשות בבקר הזיכרון ביחס לבנקים ושורות של תאי זיכרון. תוכנת שירות פותחה בנוסף לקביעת הפריסה דרמה, אשר דורש ריצה כשורש. גם בעתיד הקרוב מתוכנן לפרסם אפליקציה לבדיקת זיכרון סמארטפון.

חברות אינטל и AMD להגנה, הם המליצו להשתמש בזיכרון מתקן שגיאות (ECC), בקרי זיכרון עם תמיכה ב-Maximum Activate Count (MAC) ולהשתמש בקצב רענון מוגבר. חוקרים מאמינים שלשבבים שכבר שוחררו אין פתרון להגנה מובטחת מפני Rowhammer, והשימוש ב-ECC והגדלת תדירות התחדשות הזיכרון התבררו כלא יעילים. לדוגמה, זה הוצע בעבר תהליך התקפות על זיכרון DRAM עוקפות הגנת ECC, ומראה גם את האפשרות לתקוף DRAM דרך רשת מקומית, מ מערכת אורחים и באמצעות הפעלת JavaScript בדפדפן.

מקור: OpenNet.ru