Блацксмитх - нови напад на ДРАМ меморију и ДДР4 чипове

Тим истраживача са ЕТХ Цириха, Врије Университеит Амстердам и Куалцомм-а објавио је нову методу напада РовХаммер која може да промени садржај појединачних битова динамичке меморије са случајним приступом (ДРАМ). Напад је добио кодни назив Блацксмитх и идентификован као ЦВЕ-2021-42114. Многи ДДР4 чипови опремљени заштитом од раније познатих метода РовХаммер класе су подложни проблему. Алати за тестирање ваших система на рањивост су објављени на ГитХуб-у.

Подсетимо се да напади класе РовХаммер вам омогућавају да изобличите садржај појединачних меморијских битова цикличним читањем података из суседних меморијских ћелија. Пошто је ДРАМ меморија дводимензионални низ ћелија, од којих се свака састоји од кондензатора и транзистора, обављање непрекидног читања истог меморијског региона доводи до флуктуација напона и аномалија које узрокују мали губитак наелектрисања у суседним ћелијама. Ако је интензитет читања висок, онда суседна ћелија може изгубити довољно велику количину напуњености и следећи циклус регенерације неће имати времена да врати своје првобитно стање, што ће довести до промене вредности података ускладиштених у ћелији. .

Да би се заштитили од РовХаммер-а, произвођачи чипова су предложили механизам ТРР (Таргет Ров Рефресх) који штити од оштећења ћелија у суседним редовима, али пошто је заштита заснована на принципу „сигурност нејасноћом“, то није решило проблем на роот, али заштићен само од познатих посебних случајева, што је олакшало проналажење начина да се заобиђе заштита. На пример, у мају је Гугл предложио метод Халф-Доубле, на који није утицала ТРР заштита, јер је напад утицао на ћелије које нису биле директно у близини мете.

Нова метода Блацксмитх-а нуди другачији начин заобилажења ТРР заштите, заснован на неуједначеном приступу двема или више агресорских жица на различитим фреквенцијама како би се изазвало цурење пуњења. Да би се одредио образац приступа меморији који доводи до цурења наелектрисања, развијен је посебан фуззер који аутоматски бира параметре напада за одређени чип, мењајући редослед, интензитет и систематичност приступа ћелији.

Такав приступ, који није повезан са утицајем на исте ћелије, чини неефикасним садашње методе заштите ТРР-а, које се у овом или оном облику своде на бројање броја поновљених позива ћелијама и, када се достигну одређене вредности, покретање допуне. суседних ћелија. У Блацксмитх-у, образац приступа се шири на неколико ћелија одједном са различитих страна мете, што омогућава постизање цурења пуњења без достизања граничних вредности.

Метод се показао знатно ефикаснијим од претходно предложених метода за заобилажење ТРР-а – истраживачи су успели да постигну изобличење битова у свих 40 недавно купљених различитих ДДР4 меморијских чипова произвођача Самсунг, Мицрон, СК Хиник и непознатог произвођача (произвођач је био није наведено на 4 чипа). Поређења ради, метод ТРРеспасс који су раније предложили исти истраживачи био је ефикасан за само 13 од 42 чипа тестирана у то време.

Генерално, очекује се да ће се Блацксмитх метода применити на 94% свих ДРАМ чипова на тржишту, али истраживачи кажу да су неки чипови рањивији и лакши за напад од других. Употреба кодова за исправљање грешака (ЕЦЦ) у чиповима и удвостручавање брзине освежавања меморије не пружа потпуну заштиту, али компликује рад. Важно је напоменути да се проблем не може блокирати у већ објављеним чиповима и захтева имплементацију нове заштите на хардверском нивоу, тако да ће напад остати релевантан дуги низ година.

Практични примери укључују методе коришћења Блацксмитх-а за промену садржаја уноса у табели меморијских страница (ПТЕ, унос табеле страница) да би се добиле привилегије језгра, кварећи РСА-2048 јавни кључ ускладиштен у меморији у ОпенССХ-у (јавни кључ можете да унесете у нечију туђу виртуелну машину да се упореди са приватним кључем нападача да се повеже са ВМ жртве) и заобиђе проверу акредитива модификујући меморију судо процеса да добије роот привилегије. У зависности од чипа, потребно је од 3 секунде до неколико сати времена напада да се промени један циљни бит.

Поред тога, можемо приметити објављивање отвореног оквира ЛитеКс Ров Хаммер Тестер за тестирање метода заштите меморије од напада класе РовХаммер, који је развио Антмицро за Гоогле. Оквир се заснива на употреби ФПГА за потпуну контролу команди које се преносе директно на ДРАМ чип како би се елиминисао утицај меморијског контролера. Тоолкит у Питхон-у се нуди за интеракцију са ФПГА. Гатеваи заснован на ФПГА укључује модул за пренос пакетних података (дефинише обрасце приступа меморији), Паилоад Екецутор, контролер заснован на ЛитеДРАМ-у (обрађује сву логику потребну за ДРАМ, укључујући активацију редова и ажурирање меморије) и ВекРисцв ЦПУ. Развој пројекта се дистрибуира под лиценцом Апацхе 2.0. Подржане су различите ФПГА платформе, укључујући Латтице ЕЦП5, Ксилинк Сериес 6, 7, УлтраСцале и УлтраСцале+.

Извор: опеннет.ру