メモリ上の変数と CPU レジスタの標的的な破壊 - Mayhem

Core Concepts

Rowhammer 攻撃を使って、スタック変数や CPU レジスタの値を攻撃者が意図的に破壊できることを示す。

Abstract

本論文では、Rowhammer 攻撃を使って、プロセスのスタック変数や CPU レジスタの値を攻撃者が意図的に破壊できることを示している。
これまでは、Rowhammer 攻撃はメモリ上の動的に割り当てられた領域や、ディスクから読み込まれたバイナリを対象としていた。しかし、本論文では、CPU のレジスタ値もスタック上に保存されるため、Rowhammer 攻撃の対象になることを実証している。
具体的には、以下の手順で攻撃を行う:

オフラインの段階で、物理的に連続したメモリ領域を特定し、ターゲットの変数が配置される可能性の高いページを見つける。
オンラインの段階で、ターゲットの変数が配置されるページを強制的に DRAM 上に配置する。
Rowhammer 攻撃を行い、ターゲットの変数の値を破壊する。

この攻撃手法を用いて、SUDO、OpenSSH、OpenSSL などのプログラムの認証バイパス、RSA Bellcore 攻撃の実行を実証している。
本論文の貢献は以下の通り:

レジスタ値をスタックを介して Rowhammer 攻撃の対象にする新しい手法を提案した
静的なコード/データ配置を操作して、ターゲットのスタック変数と共存させる手法を示した
スタックとレジスタを標的とする実用的な同期手法を導入した
SUDO、OpenSSH、OpenSSL への攻撃を実証した
OpenSSL の署名検証コードを使った端から端までの攻撃を実証した
新たに発見された攻撃手法に対する緩和策を提案した

Stats

SUDO の認証バイパスに成功した回数は 11 回で、平均して 1 時間の前処理と 5 分の攻撃時間を要した。
OpenSSH の認証バイパスに成功した回数は 8 回で、平均して 45 分の前処理と 6 分の攻撃時間を要した。
OpenSSL の署名検証の攻撃に成功した回数は 7 回で、平均して 1 時間 45 分の前処理と 7 分の攻撃時間を要した。

Quotes

"レジスタ値は、プロセッサ・コアに保存されているため、攻撃の対象にはならないと考えられてきた。しかし、本論文では、レジスタ値がスタックに保存され、そこから DRAM に書き出されるため、Rowhammer 攻撃の対象になることを示した。"
"これまでの Rowhammer 攻撃は、動的に割り当てられたメモリや、ディスクから読み込まれたバイナリを対象としていた。しかし、本論文では、スタック変数やレジスタ値も Rowhammer 攻撃の対象になることを実証した。"
"本論文の攻撃手法を用いて、SUDO、OpenSSH、OpenSSL などのプログラムの認証バイパス、RSA Bellcore 攻撃の実行を実証した。これにより、Rowhammer 攻撃の対象範囲が大幅に広がったことを示した。"

Key Insights Distilled From

Mayhem: Targeted Corruption of Register and Stack Variables

by Andr... at arxiv.org 04-15-2024

https://arxiv.org/pdf/2309.02545.pdf

Deeper Inquiries

Rowhammer 攻撃の対象範囲をさらに広げるために、どのようなアプローチが考えられるか?

Rowhammer攻撃の対象範囲を拡大するためには、新たな攻撃ベクトルを探求することが重要です。例えば、プロセス内の他の重要な変数やデータ構造を標的にすることで、攻撃の範囲を広げることができます。また、異なるメモリ領域やプロセス間の相互作用を利用して、より広範囲なデータやコードに影響を与える手法を検討することも有効です。さらに、新たなハードウェアやソフトウェアの脆弱性を見つけて、それらを利用して攻撃範囲を拡大することも考えられます。継続的な研究と実験を通じて、新たな攻撃手法を開発し、Rowhammer攻撃の可能性をさらに探求することが重要です。

本論文で提案された攻撃手法に対して、どのような根本的な対策が考えられるか

本論文で提案された攻撃手法に対して、どのような根本的な対策が考えられるか?
本論文で提案された攻撃手法に対抗するためには、いくつかの根本的な対策が考えられます。まず、ハードウェアレベルでの保護策として、メモリデバイスやプロセッサの設計を改良し、Rowhammer攻撃に対する耐性を高めることが重要です。また、ソフトウェアレベルでは、セキュリティ意識の高いプログラミング手法やコーディングガイドラインの導入、メモリアクセスの厳密な管理、およびセキュリティツールや監視システムの活用が有効です。さらに、定期的な脆弱性スキャンやセキュリティパッチの適用、アクセス制御や権限管理の強化など、包括的なセキュリティ対策を実施することが重要です。

Rowhammer 攻撃の影響を最小限に抑えるために、プログラミング言語やコンパイラレベルでどのような対策が可能か

Rowhammer 攻撃の影響を最小限に抑えるために、プログラミング言語やコンパイラレベルでどのような対策が可能か?
Rowhammer攻撃の影響を最小限に抑えるためには、プログラミング言語やコンパイラレベルで以下の対策が考えられます。

メモリアクセスの厳密な管理: プログラミング言語やコンパイラを使用して、メモリアクセスを厳密に管理し、不正なメモリアクセスを防止することが重要です。
メモリ保護機能の活用: プログラミング言語やコンパイラが提供するメモリ保護機能を活用して、メモリのセキュリティを強化することが有効です。
データの暗号化: プログラミング言語やコンパイラを使用して、重要なデータや変数を暗号化し、Rowhammer攻撃から保護することが重要です。
セキュリティ意識の高いコーディング: プログラミング言語やコンパイラを使用して、セキュリティ意識の高いコーディング手法を導入し、脆弱性を最小限に抑えることが重要です。
定期的なセキュリティチェック: プログラミング言語やコンパイラを使用して、定期的なセキュリティチェックや脆弱性スキャンを実施し、早期に問題を発見して対処することが重要です。