From Fleet to Lab: Revisiting the Security and Complexity of Industrial Rowhammer Mitigation
تكشف هذه الورقة عن ثغرات أمنية حرجة وأعباء تخزين عالية في مخطط التخفيف "Sigries" من مايكروسوفت، وتحديداً في انتقاله غير الآمن بين وضعي التتبع وأخذ العينات، وتقترح "FiRM"، وهو حل مصمم بشكل مشترك باستخدام مرشحات SRAM بسيطة لتحقيق حماية آمنة ومنخفضة التكلفة دون تعقيد أدوات التتبع القائمة على ذاكرة الوصول العشوائي المحتواة (CAM).
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تعتمد الحواسيب الحديثة على نوع من الذاكرة يسمى DRAM لتخزين البيانات التي تستخدمها بنشاط. تتكون هذه الذاكرة من مكثفات كهربائية دقيقة تخزن بتات المعلومات في شكل شحنات. وعلى مدار العقد الماضي، قام المهندسون بتصغير هذه المكونات لحشد المزيد من البيانات في مساحات أصغر، لكن هذا التصغير أدى إلى ظهور أثر جانبي فيزيائي. فعندما يتم الوصول إلى صف معين من خلايا الذاكرة بشكل متكرر وسريع، يمكن للشحنة الكهربائية أن تتسرب إلى الصفوف المجاورة، مما يتسبب في تغيير قيمها المخزنة من صفر إلى واحد أو العكس. هذه الظاهرة، المعروفة باسم Rowhammer، ليست مجرد مشكلة تتعلق بالموثوقية وتسبب أعطالاً عشوائية؛ بل هي تهديد أمني خطير. إذ يمكن للمهاجم إثارة هذه التغييرات عمدًا لإفساد البيانات أو اختراق الأنظمة الآمنة. ولأن المشكلة متجذرة في الأجهزة (Hardware) نفسها، فإن البرمجيات وحدها لا يمكنها إصلاحها. يجب أن يحدث الدفاع في الأجهزة نفسها، وتحديدًا في متحكم الذاكرة، الذي يعمل كمدير لحركة المرور للبيانات المنتقلة بين المعالج ورقائق الذاكرة.
يتمثل التحدي الذي يواجه مصممي الأجهزة في الموازنة بين حاجتين متنافستين: الأمن والسرعة. لإيقاف Rowhammer، يجب على متحكم الذاكرة تتبع الصفوف التي يتم الوصول إليها بشكل متكرر للغاية وتحديث جيرانها لمنع الأخطاء. الطريقة الأكثر دقة للقيام بذلك هي الاحتفاظ بقائمة مفصلة لكل صف نشط، ولكن هذا يتطلب أجهزة معقدة ومكلفة تبطئ سرعة الحاسوب. أما الطريقة الأبسط والأسرع فهي تحديث الجيران بشكل عشوائي في كل مرة يتم فيها الوصول إلى صف، ولكن هذا يبطئ الحاسوب حتى في حالة عدم وجود هجوم، لأنه يقوم بعمل غير ضروري. لسنوات عديدة، كافح قطاع الصناعة لإيجاد حل وسط يوفر أمنًا قويًا دون معاقبة أداء الحاسوب.
حاول تصميم حديث يسمى Sigries، تم نشره بواسطة شركة مايكروسوفت في خوادم سحابة Azure الخاصة بها، حل هذه المشكلة من خلال الجمع بين كلا النهجين. فهو يستخدم متتبعًا صغيرًا وسريعًا لرصد النشاط الطبيعي، وينتقل إلى طريقة احتمالية عشوائية فقط عندما يمتلئ المتتبع. اعتقد المصممون أن هذا النهج الهجين آمن وفعال. ومع ذلك، وجد فريق من الباحثين من معهد جورجيا للتكنولوجيا أن هذا التصميم يحتوي على خلل فادح. فقد اكتشفوا أن اللحظة التي ينتقل فيها النظام من متتبعه الدقيق إلى نظام التراجع العشوائي هي في الواقع نافذة معرضة للخطر يمكن للهجوم أن ينجح من خلالها. علاوة على ذلك، أظهروا أنه يمكن للمهاجم استغلال هذه الثغرة عبر أجزاء مختلفة من نظام الذاكرة في وقت واحد، مما يقلل الوقت اللازم لاختراق النظام من سنوات إلى ثانية واحدة فقط.
لم يكتف الباحثان، هريتويك تانيكا وموينودين كويري، بتحديد المشكلة فحسب، بل اقترحا حلاً جديدًا يسمى FiRM، وهو اختصار لـ "تخفيف Rowhammer المفلتر" (Filtered Rowhammer Mitigation). يوضح عملهما أن عدم أمان التصميم السابق لم يكن أمرًا حتميًا، بل كان نتيجة لكيفية ربط هذين النمطين المختلفين من الحماية. في التصميم القديم، كان النمطان يعملان بشكل مستقل، بافتراض أنه عندما يسلم أحد الأنماط المهمة للنمط الآخر، تبدأ صفوف الذاية من نقطة انطلاق جديدة ونظيفة. أدرك الباحثون أن هذا الافتراض خاطئ؛ فعندما ينتقل النظام من المتتبع الدقيق إلى التراجع العشوائي، غالبًا ما تحمل صفوف الذاكرة "دينًا" من عمليات الوصول السابقة التي فات المتتبع رصدها. هذا الدين المتبقي، مقترنًا بالطريقة العشوائية الجديدة، يسمي المهاجم بتجاوز الحد الآمن من عمليات الوصول قبل أن يتمكن النظام من تحديث البيانات.
ولإصلاح ذلك، صمم الفريق نظامًا يتم فيه تصميم النمطين معًا ليتشاركا ميزانية سلامة موحدة. فبدلاً من ترك المتتبع ونظام التراجع يعملان بحدودهما المنفصلة، يضمن نظام FiRM أن إجمالي عمليات الوصول المسموح بها عبر كلا النمطين لا يتجاوز أبدًا العتبة الآمنة. لقد استبدلوا الأجهزة المعقدة والمكلفة المستخدمة في التتبع بهيكل أبسط يعمل كعداد أساسي. هذا العداد لا يحتاج إلى معرفة أي صف يتم الوصول إليه بالضبط؛ بل يحتاج فقط إلى معرفة ما إذا كان النشاط في منطقة معينة قد تجاوز عتبة معينة. إذا كان النشاط منخفضًا، فلا يفعل النظام شيئًا، مما يحافظ على السرعة المثالية. وإذا تجاوز النشاط تلك العتبة، يقوم النظام بتفعيل إجراء وقائي.
طوّر الباحثون نسختين من هذا النظام الجديد. النسخة الأولى، FiRM-P، تستخدم تراجعًا احتماليًا مشابهًا للتصميم القديم ولكنها تعدل كثافة الحماية خلال فترات الانتقال لضمان عدم وجود أي فجوات أمنية. أما النسخة الثانية، FiRM-D، فهي حتمية بالكامل، مما يعني أنها لا تعتمد على الصدفة العشوائية على الإطلاق؛ بل تقوم بجدولة التحديثات بعناية بناءً على عدد مرات الوصول، مما يضمن عدم تلقي أي صف عددًا زائدًا من عمليات الوصول. تم اختبار كلتا النسختين باستخدام عمليات محاكاة تحاكي أعباء عمل الحاسوب في العالم الحقيقي. وأظهرت النتائج أنه بالنسبة للاستخدام اليومي العادي للحاسوب، لا يتسبب التصميمان الجديدان في أي تباطؤ، حيث يعملان بنفس سرعة النظام غير المحمي. وتحت الهجوم، يظلان آمنين، بينما فشل التصميم السابق فشلًا ذريعًا.
كما سلطت الدراسة الضوء على أهمية كيفية قياس الأمن. فقد ادعى التصميم السابق أنه آمن لأنه حد من الوقت الذي تكون فيه الثغرة مفتوحة إلى كمية صغيرة سنويًا لكل قسم من أقسام الذاكرة. أظهر الباحثون أن هذا المقياس كان مضللاً؛ فمن خلال مهاجمة أقسام مختلفة من الذاية في تسلسل دوري، يمكن للمهاجم إبقاء نافذة الضعف مفتوحة باستمرار تقريبًا، مما يؤدي فعليًا إلى تجاوز الحد الزمني. كشف تحليلهم أن هجوم التدوير هذا يمكن أن يتسبب في فشل النظام في حوالي ثانية واحدة، وهو انخفاض هائل من ثلاثة عشر عامًا من الأمان التي ادعىها التصميم السابق.
من خلال استبدال أجهزة التتبع المعقدة بعدادات بسيطة وإدارة الانتقال بين أنماط السلامة بعناية، أثبت الباحثون أنه من الممكن الحصول على كل من الأمن القوي والأداء العالي. ويشير عملهم إلى أن الأجهزة المعقدة والمكلفة التي كان يُعتقد سابقًا أنها ضرورية لهذه الحماية ليست أساسية. تتطلب التصاميم الجديدة مساحة تخزين أقل بكثير ومنطق أجهزة أبسط، مما يجعلها خيارًا عمليًا وآمنًا لأنظمة الكمبيوتر المستقبلية. يضمن هذا النهج بقاء الحواسيب سريعة للمهام اليومية مع كونها قوية بما يكفي لمواجهة الهجمات الفيزيائية المتطورة على ذاكرتها.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.