DDR4 メモリ チップは、保護が強化されているにもかかわらず、依然として RowHammer 攻撃に対して脆弱です

アムステルダム自由大学、チューリッヒ工科大学、クアルコムの研究者チーム 開催 最新の DDR4 メモリ チップで使用されるクラス攻撃に対する保護の有効性の研究 ロウハンマーを使用すると、ダイナミック ランダム アクセス メモリ (DRAM) の個々のビットの内容を変更できます。 結果は残念なもので、主要メーカーの DDR4 チップは依然として 残る 脆弱 （CVE-2020-10255).

RowHammer の脆弱性により、隣接するメモリ セルからデータを周期的に読み取ることにより、個々のメモリ ビットの内容が破損する可能性があります。 DRAM メモリはキャパシタとトランジスタで構成されるセルの XNUMX 次元アレイであるため、同じメモリ領域の連続読み取りを実行すると、電圧変動や異常が発生し、隣接するセルでわずかな電荷損失が発生します。 読み取り強度が十分に高い場合、セルは十分な量の電荷を失う可能性があり、次の再生サイクルで元の状態を復元する時間がなくなり、セルに保存されているデータの値が変化します。 。

この影響をブロックするために、最新の DDR4 チップは TRR (Target Row Refresh) テクノロジーを使用しており、RowHammer 攻撃中にセルが破損するのを防ぐように設計されています。 問題は、TRR を実装する単一のアプローチがなく、各 CPU およびメモリのメーカーが独自の方法で TRR を解釈し、独自の保護オプションを適用し、実装の詳細を開示していないことです。
メーカーが使用している RowHammer のブロック方法を研究することで、保護をバイパスする方法を簡単に見つけることができました。 調査した結果、メーカーが実践している原則であることが判明しました。曖昧さによるセキュリティ TRR を実装する場合の (隠蔽によるセキュリティ) は、特殊な場合の保護にのみ役立ち、XNUMX つまたは XNUMX つの隣接する行のセルの電荷の変化を操作する典型的な攻撃をカバーします。

研究者らが開発したユーティリティを使用すると、複数行のメモリセルの電荷に影響を与えようとする試みが一度に行われる RowHammer 攻撃の多面的な亜種に対するチップの感受性をチェックできるようになります。 このような攻撃は、一部のメーカーが実装している TRR 保護をバイパスし、DDR4 メモリを搭載した新しいハードウェアであってもメモリ ビットの破損を引き起こす可能性があります。
調査した 42 個の DIMM のうち、13 個のモジュールが、宣言された保護にもかかわらず、RowHammer 攻撃の非標準亜種に対して脆弱であることが判明しました。 問題のあるモジュールはSK Hynix、Micron、Samsungによって製造されており、その製品は カバー DRAM市場の95%を占める。

DDR4 に加えて、モバイル デバイスで使用される LPDDR4 チップも調査されましたが、これも RowHammer 攻撃の高度な亜種に敏感であることが判明しました。 特に、Google Pixel、Google Pixel 3、LG G7、OnePlus 7、Samsung Galaxy S10 スマートフォンで使用されているメモリがこの問題の影響を受けました。

研究者らは、問題のある DDR4 チップ上でいくつかの悪用手法を再現することに成功しました。 たとえば、RowHammer を使用すると、エクスプロイト PTE (ページ テーブル エントリ) の場合、テストしたチップに応じて、カーネル特権を取得するのに 2.3 秒から XNUMX 時間 XNUMX 秒かかりました。 アタック メモリに保存されている公開キーの損傷については、RSA-2048 では 74.6 秒から 39 分 28 秒かかりました。 アタック sudo プロセスのメモリ変更による資格情報チェックをバイパスするのに 54 分 16 秒かかりました。

ユーザーが使用しているDDR4メモリチップをチェックするユーティリティが公開されました TRレスパス。 攻撃を成功させるには、メモリ セルのバンクおよび行に関連してメモリ コントローラで使用される物理アドレスのレイアウトに関する情報が必要です。 レイアウトを決定するためのユーティリティが追加開発されました。 ドラマ、rootとして実行する必要があります。 近い将来にも 計画中 スマートフォンのメモリをテストするアプリケーションを公開します。

企業 インテル и AMD 保護のために、誤り訂正メモリ (ECC)、最大アクティブ化カウント (MAC) をサポートするメモリ コントローラを使用し、リフレッシュ レートを高めることを推奨しました。 研究者らは、すでにリリースされたチップについては、Rowhammer から確実に保護する解決策はなく、ECC の使用やメモリ再生成の頻度の増加は効果がないことが判明したと考えています。 たとえば、以前提案された プロセス ECC 保護をバイパスした DRAM メモリへの攻撃、および DRAM を介して DRAM を攻撃する可能性も示しています。 ローカルネットワークから ゲストシステム и 用いて ブラウザで JavaScript を実行します。

出所： オープンネット.ru