Blacksmith - DRAM 메모리와 DDR4 칩에 대한 새로운 공격

ETH Zurich, Vrije Universiteit Amsterdam 및 Qualcomm의 연구진은 DRAM(동적 랜덤 액세스 메모리)의 개별 비트 내용을 변경할 수 있는 새로운 RowHammer 공격 방법을 발표했습니다. 해당 공격의 코드명은 Blacksmith이며 CVE-2021-42114로 식별되었습니다. 이전에 알려진 RowHammer 클래스 메서드에 대한 보호 기능을 갖춘 많은 DDR4 칩이 이 문제에 취약합니다. 시스템의 취약성을 테스트하는 도구는 GitHub에 게시되어 있습니다.

RowHammer 클래스 공격을 사용하면 인접한 메모리 셀에서 데이터를 주기적으로 읽어 개별 메모리 비트의 내용을 왜곡할 수 있습니다. DRAM 메모리는 각각 커패시터와 트랜지스터로 구성된 셀의 XNUMX차원 배열이므로 동일한 메모리 영역을 연속적으로 읽으면 전압 변동과 이상 현상이 발생하여 인접한 셀에서 약간의 전하 손실이 발생합니다. 판독 강도가 높으면 이웃 셀이 충분히 많은 양의 전하를 잃을 수 있으며 다음 재생 주기에서는 원래 상태를 복원할 시간이 없어 셀에 저장된 데이터 값이 변경됩니다. .

RowHammer를 방지하기 위해 칩 제조업체에서는 인접한 행에 있는 셀의 손상을 방지하는 TRR(Target Row Refresh) 메커니즘을 제안했지만, 해당 보호는 '모호성에 의한 보안' 원칙에 기반을 두고 있었기 때문에 문제를 해결하지 못했습니다. 하지만 알려진 특수 사례에서만 보호되므로 보호를 우회하는 방법을 쉽게 찾을 수 있습니다. 예를 들어 지난 XNUMX월 구글은 공격 대상과 직접 인접하지 않은 셀에 공격이 영향을 미치기 때문에 TRR 보호의 영향을 받지 않는 Half-Double 방식을 제안했다.

Blacksmith의 새로운 방법은 전하 누출을 유발하기 위해 서로 다른 주파수에서 두 개 이상의 공격자 스트링에 대한 불균일한 액세스를 기반으로 TRR 보호를 우회하는 다른 방법을 제공합니다. 전하 누출로 이어지는 메모리 액세스 패턴을 결정하기 위해 특정 칩에 대한 공격 매개변수를 자동으로 선택하고 셀 액세스의 순서, 강도 및 체계성을 변경하는 특수 퍼저가 개발되었습니다.

동일한 셀에 영향을 주지 않는 이러한 접근 방식은 현재의 TRR 보호 방법을 비효율적으로 만듭니다. 이는 어떤 형태로든 셀에 대한 반복 호출 횟수를 계산하고 특정 값에 도달하면 재충전을 시작하는 것으로 귀결됩니다. 이웃 셀의 Blacksmith에서는 액세스 패턴이 대상의 서로 다른 측면에서 동시에 여러 셀에 분산되어 임계값에 도달하지 않고도 전하 누출을 달성할 수 있습니다.

이 방법은 TRR을 우회하기 위해 이전에 제안된 방법보다 훨씬 더 효과적인 것으로 밝혀졌습니다. 연구원들은 최근 구입한 Samsung, Micron, SK Hynix 및 알려지지 않은 제조업체(제조업체는 40개 칩에는 지정되지 않음). 비교를 위해, 이전에 동일한 연구자가 제안한 TRRespass 방법은 당시 테스트된 4개 칩 중 4개에만 효과적이었습니다.

일반적으로 블랙스미스 방식은 시중에 나와 있는 전체 DRAM 칩의 94%에 적용될 것으로 예상되지만 연구원들은 일부 칩은 다른 칩보다 더 취약하고 공격하기 쉽다고 말합니다. 칩에 오류 수정 코드(ECC)를 사용하고 메모리 새로 고침 빈도를 두 배로 늘리면 완전한 보호가 제공되지 않지만 작동이 복잡해집니다. 이미 출시된 칩에서는 문제를 차단할 수 없으며 하드웨어 수준에서 새로운 보호 기능을 구현해야 하므로 공격은 수년 동안 관련성이 유지될 것이라는 점은 주목할 만합니다.

실제 사례에는 Blacksmith를 사용하여 메모리 페이지 테이블(PTE, 페이지 테이블 항목)의 항목 내용을 변경하여 커널 권한을 얻는 방법, OpenSSH의 메모리에 저장된 RSA-2048 공개 키를 손상시키는 방법이 포함됩니다(공개 키를 다른 사람의 가상 머신을 공격자의 개인 키와 일치시켜 피해자의 VM에 연결) 루트 권한을 얻기 위해 sudo 프로세스의 메모리를 수정하여 자격 증명 검사를 우회합니다. 칩에 따라 하나의 대상 비트를 변경하는 데 3초에서 몇 시간의 공격 시간이 소요됩니다.

또한 Antmicro가 Google을 위해 개발한 RowHammer 클래스 공격에 대한 메모리 보호 방법을 테스트하기 위한 개방형 LiteX Row Hammer Tester 프레임워크의 공개를 주목할 수 있습니다. 프레임워크는 메모리 컨트롤러의 영향을 제거하기 위해 DRAM 칩에 직접 전송되는 명령을 완벽하게 제어하는 ​​FPGA 사용을 기반으로 합니다. Python의 툴킷은 FPGA와의 상호 작용을 위해 제공됩니다. FPGA 기반 게이트웨이에는 패킷 데이터 전송용 모듈(메모리 액세스 패턴 정의), 페이로드 실행기, LiteDRAM 기반 컨트롤러(행 활성화 및 메모리 업데이트를 포함하여 DRAM에 필요한 모든 로직 처리) 및 VexRiscv CPU가 포함되어 있습니다. 프로젝트 개발은 Apache 2.0 라이센스에 따라 배포됩니다. Lattice ECP5, Xilinx 시리즈 6, 7, UltraScale 및 UltraScale+를 포함한 다양한 FPGA 플랫폼이 지원됩니다.

출처 : opennet.ru