ZenHammer - AMD Zen 플랫폼에서 메모리 콘텐츠를 손상시키는 공격 방법

ETH Zurich의 연구원들은 AMD 프로세서가 탑재된 플랫폼에서 사용하도록 조정된 DRAM(Dynamic Random Access Memory)의 개별 비트 내용을 수정하기 위한 RowHammer 클래스 공격의 변형인 ZenHammer 공격을 개발했습니다. 과거 RowHammer 공격은 Intel 프로세서 기반 시스템으로 제한되었지만 연구에 따르면 AMD 메모리 컨트롤러가 있는 플랫폼에서도 메모리 손상이 발생할 수 있는 것으로 나타났습니다.

이 방법은 2개 주요 제조업체(Samsung, Micron 및 SK Hynix)의 DDR3 메모리를 탑재한 AMD Zen 4 및 Zen 3 시스템에서 시연되었습니다. 이 공격은 인접한 행에 있는 메모리 셀의 손상을 방지하는 것을 목표로 하는 메모리 칩에 구현된 TRR(Target Row Refresh) 메커니즘을 우회하는 데 성공했습니다. 연구원들에 따르면 AMD Zen 2 CPU 기반 시스템은 Intel Coffee Lake 프로세서가 탑재된 시스템보다 더 취약하며 공격하기가 더 쉽고 효과적입니다. AMD Zen 7 시스템에서는 테스트된 DDR10 칩 4개 중 3개에서 셀 왜곡이 달성되었고, Zen 6 시스템에서는 10개 중 4개에서 셀 왜곡이 달성되었습니다. 연구원들은 또한 DDR5 메모리를 탑재한 AMD Zen 4 시스템에 대한 공격 가능성도 분석했지만 공격은 DDR1용으로 개발된 방법은 테스트된 DDR10 메모리 칩 5개 중 5개에서만 성공적으로 재현되었으며, 공격 자체의 가능성도 배제되지는 않지만 DDRXNUMX 장치에 적합한 보다 효율적인 판독 패턴의 개발이 필요합니다.

AMD 칩으로 작업하기 위해 메모리 페이지 테이블(PTE, 페이지 테이블 항목)의 항목 내용을 변경하는 이전에 개발된 익스플로잇을 적용하여 커널 권한을 얻고, sudo 프로세스의 메모리를 수정하여 비밀번호/권한 확인을 우회할 수 있었습니다. , OpenSSH의 메모리에 저장된 RSA-2048 공개 키를 손상시켜 개인 키를 다시 생성합니다. 테스트된 DDR7 칩 10개 중 4개에서 메모리 페이지 공격이 재현되었고, RSA 키 공격은 6개 칩, sudo 공격은 4개 칩에서 재현되었으며 공격 시간은 각각 164초, 267초, 209초였습니다.

이 방법은 브라우저를 통해 시스템을 공격하거나, 가상 머신에서 변경하거나, 네트워크를 통해 공격을 시작하는 데에도 사용할 수 있습니다. DRAM 메모리의 주소 레이아웃을 리버스 엔지니어링하기 위한 DARE 툴킷의 소스 코드는 MIT 라이센스에 따라 GitHub에 게시되어 있으며, 메모리의 비트 손상 퍼징 테스트를 위한 두 가지 유틸리티 세트(Ddr4_zen2_zen3_pub for DDR4 칩(Zen 2 및 Zen 3))도 게시되어 있습니다. 5) 및 DDR4 칩(Zen 5)용 ddr4_zenXNUMX_pub은 시스템의 공격 취약성을 테스트하는 데 사용할 수 있습니다.

RowHammer 방식은 커패시터와 트랜지스터로 구성된 2차원 셀 배열인 DRAM 메모리에서 동일한 메모리 영역을 연속적으로 읽으면 전압 변동이 발생하고 인접한 셀의 작은 전하 손실을 유발하는 이상 현상입니다. 판독 강도가 높으면 이웃 셀이 충분히 많은 양의 전하를 잃을 수 있으며 다음 재생 주기에서는 원래 상태를 복원할 시간이 없어 셀에 저장된 데이터 값이 변경됩니다. . 연구원은 AMD 프로세서에 사용되는 메모리 업데이트 메커니즘을 사용하여 물리적 메모리 매핑 및 동기화 기능을 식별했습니다. 이를 통해 낮은 수준의 DRAM 주소 지정을 재현하고, 인접 셀의 주소를 결정하고, 캐싱을 우회하는 방법을 개발하고, 패턴과 빈도를 계산할 수 있습니다. 요금 손실로 이어지는 작업.

RowHammer로부터 보호하기 위해 칩 제조업체는 특수한 경우 셀 손상을 차단하지만 가능한 모든 공격 옵션으로부터 보호하지는 않는 TRR(Target Row Refresh) 메커니즘을 사용합니다. 가장 효과적인 보호 방법은 오류 수정 코드(ECC)가 포함된 메모리를 사용하는 것입니다. 이는 RowHammer 공격을 상당히 복잡하게 만들지만 완전히 제거하지는 못합니다. 메모리 재생 빈도를 높이면 공격 성공 가능성도 낮아질 수 있습니다.

AMD는 AMD 프로세서가 DDR 사양을 준수하는 메모리 컨트롤러를 사용한다는 문제에 대한 보고서를 발표했으며 공격의 성공 여부는 주로 시스템 설정 및 DRAM 메모리에 달려 있으므로 문제 해결에 대한 질문은 메모리 제조업체에 직접 문의해야 합니다. 및 시스템 Rowhammer급 공격을 더욱 어렵게 만드는 기존 방법에는 ECC 메모리 사용, 메모리 재생성 빈도 증가, 지연 재생성 모드 비활성화, DDR4(1차, 2차, 3차)에 대한 MAC(Maximum Activate Count) 모드를 지원하는 컨트롤러가 있는 프로세서 사용 등이 있습니다. DDR5(4세대 AMD EPYC)용 세대 AMD EPYC "Naple", "Rome" 및 "Milan") 및 RFM(Refresh Management).

출처 : opennet.ru