DDR4 pamäťové čipy zostávajú zraniteľné voči útokom RowHammer, napriek pridanej ochrane

Skupina výskumníkov z Amsterdamskej slobodnej univerzity, Švajčiarskej federálnej technickej školy v Zürichu a spoločnosti Qualcomm uskutočnila štúdiu účinnosti ochrany implementovanej v súčasných DDR4 pamäťových čipoch voči útokom RowHammer, ktoré umožňujú zmeniť obsah jednotlivých bitov dynamickej pamäte (DRAM). Výsledky boli sklamaním a DDR4 čipy hlavných výrobcov zostávajú zraniteľné ( CVE-2020-10255Zraniteľnosť RowHammer umožňuje skresliť obsah jednotlivých bitov pamäte prostredníctvom cyklického čítania údajov z susedných pamäťových buniek. Keďže pamäť DRAM je dvojrozmerným poľom buniek, pričom každá bunka pozostáva z kondenzátora a tranzistora, neustále čítanie tej istej oblasti pamäte vedie k fluktuačným napätiam a anomáliám, ktoré spôsobujú drobné straty náboja v susedných bunkách. Ak je intenzita čítania dostatočne vysoká, bunka môže stratiť dostatočne veľký objem náboja a nasledujúci regeneračný cyklus nebude schopný obnoviť jej pôvodný stav, čo povedie k zmene hodnoty uložených údajov v bunke.).

Na blokovanie takéhoto efektu sa v súčasných DDR4 čipoch používa technológia TRR (Target Row Refresh), určená na zabránenie skresleniu buniek počas útoku RowHammer. Problém je v tom, že neexistuje jednotný prístup k implementácii TRR a každý výrobca CPU a pamäte ho interpretuje po svojom, používa vlastné varianty ochrany a nezverejňuje detaily implementácie.

Studovanie metód blokovania RowHammer používaných výrobcami umožnilo ľahko nájsť spôsoby obchádzania ochrany. Pri kontrole sa ukázalo, že princíp „
bezpečnosť skrz nejasnosť(security by obscurity) pri implementácii TRR pomáha iba na ochranu v špecifických prípadoch, pokrývajúcich typické útoky, ktoré manipulujú s nábojom buniek v jednej alebo dvoch susedných riadkoch. (security by obscurity) pri implementácii TRR pomáha iba pri ochrane v špecifických prípadoch, pokrývajúcich štandardné útoky, ktoré manipulujú so zmenou náboja buniek v jednej alebo dvoch susedných riadkoch.

Nástroj vyvinutý výskumníkmi umožňuje skontrolovať náchylnosť čipov voči viacnásobným variantom útoku RowHammer, kde sa pokus o ovplyvnenie náboja vykonáva súčasne na viacerých radoch pamäťových buniek. Takéto útoky umožňujú obísť ochranu TRR implementovanú niektorými výrobcami a vedú k skresleniu bitov pamäte, aj na nových zariadeniach s pamäťou DDR4.
Z 42 skúmaných DIMM modulov sa 13 modulov ukázalo byť zraniteľných voči netradičným variantom útoku RowHammer, napriek deklarovanej ochrane. Problematické moduly vyrobili spoločnosti SK Hynix, Micron a Samsung, ktorých produkty pokrývajú 95 % trhu DRAM.

Okrem DDR4 boli skúmané aj v mobilných zariadeniach používané čipy LPDDR4, ktoré sa taktiež ukázali byť citlivé na rozšírené varianty útoku RowHammer. Konkrétne, problémovému útoku podliehala pamäť používaná v smartfónoch Google Pixel, Google Pixel 3, LG G7, OnePlus 7 a Samsung Galaxy S10.

Výskumníci dokázali reprodukovať na problematických čipoch DDR4 niekoľko techník zneužitia. Napríklad, použitie RowHammer-exploit pre PTE (Page Table Entries) si vyžiadalo na získanie privilégia jadra realizáciu útoku v čase od 2,3 sekundy do troch hodín a pätnástich sekúnd, v závislosti od testovaných čipov. Útok na poškodenie pamäte uloženého verejného kľúča RSA-2048 trval od 74,6 sekundy do 39 minút a 28 sekúnd. Útok na obídenie overovania oprávnení cez modifikáciu pamäte procesu sudo trval 54 minút a 16 sekúnd.

Na overenie čipov pamäte DDR4 použitých používateľmi bola zverejnená utilita TRRespass. Na úspešné vykonanie útoku sú potrebné informácie o usporiadaní fyzických adries v pamäťovom ovládači, viazané na banky a riadky pamäťových buniek. Na určenie usporiadania bola navyše vyvinutá utilita drama, ktorá vyžaduje spustenie s právami root. V najbližšej dobe sa tiež plánuje uvedenie aplikácie na testovanie pamäte smartfónov.

Spoločnosti Intel a AMD Odporúčajú využívať pamäť s korekciou chýb (ECC), pamäťové kontroléry s podporou Maximum Activate Count (MAC) a aplikovať zvýšenú frekvenciu regenerácie. Výskumníci však tvrdia, že pre už vydané čipy neexistuje riešenie pre zaručenú ochranu proti Rowhammeru, a aplikácia ECC a zvýšenie frekvencie regenerácie pamäte sa ukázali ako neúčinné. Napríklad, už bol navrhnutý spôsob útokov na DRAM pamäť obchádzajúcich ochranu ECC, a taktiež bola ukázaná možnosť uskutočnenia útoku na DRAM cez lokálnu sieť, z hostiteľského systému a s pomocou spúšťania JavaScriptu v prehliadači.

Zdroj: opennet.ru