Technische Zusammenfassung: Geladene Würfel: Lösung des Nicht-Auswahlproblems für eine skalierbare probabilistische RowHammer-Abwehr

1. Problemstellung

Die RowHammer-Schwachstelle, bei der wiederholte Aktivierung von DRAM-Zeilen Bit-Umschläge in benachbarten Opferzeilen auslöst, ist mit fortschreitender Skalierung der DRAM-Technologie zunehmend gravierender geworden. Die minimale Anzahl an Aktivierungen, die erforderlich ist, um einen Umschlag auszulösen (der RowHammer-Schwellenwert $T_{RH}$), ist erheblich gesunken, insbesondere bei beidseitigen Angriffen ($T_{RH-D}$).

Bestehende Minderungsstrategien stehen vor einem Zielkonflikt zwischen Sicherheit, Leistung und Flächenüberhead:

• Per-Row-Aktivierungszählung (PRAC): PRAC ist für DDR5 standardisiert und verwendet prozeilenweise Zähler, um Aktivierungen präzise zu verfolgen. Das Aktualisieren dieser Zähler bei jeder Aktivierung über Read-Modify-Write-Operationen erhöht jedoch die DRAM-Timing-Parameter (z. B. $t_{RP}$ und $t_{RC}$) erheblich, was zu einer signifikanten Leistungsverschlechterung (z. B. durchschnittliche Verlangsamung von ~14 %) und einem beachtlichen Flächenüberhead durch die Zellerzellen führt.
• Probabilistische Minderungsmaßnahmen (z. B. MINT): Diese Schemata vermeiden prozeilenweise Zähler, indem sie innerhalb periodischer Fenster zufällig Zeilen zur Minderung auswählen. Obwohl sie bei hohen Schwellenwerten ($T_{RH-D} \ge 1000$) effektiv sind, leiden sie bei niedrigeren Schwellenwerten unter dem Nicht-Auswahlproblem. Um sicherzustellen, dass eine stark gehämmerte Zeile nicht durch zufällige Stichproben wiederholt übersprungen wird, müssen diese Schemata ihre Minderungsrate statisch erhöhen (d. h. Refresh-Management-Befehle, RFMs, häufiger ausgeben). Diese feste Skalierung der Rate reduziert die effektive Speicherbandbreite und verursacht erhebliche Verlangsamungen (z. B. 17,5 % bei $T_{RH-D}=250$), selbst wenn kein Angriff vorliegt.

Die Kernherausforderung besteht darin, eine Minderungsmaßnahme zu entwickeln, die sich an niedrige $T_{RH-D}$ anpasst, ohne die Minderungsfrequenz uniform zu erhöhen, wodurch die Leistung für harmlose Arbeitslasten erhalten bleibt und gleichzeitig die Sicherheit gewährleistet wird.

2. Methodik: PrISM

Die Autoren schlagen PrISM (Probabilistic Intersection-based Sampling Mitigation) vor, eine skalierbare DRAM-interne Abwehr, die abgetastete Zeilenadressen über Minderungsfenster hinweg korreliert, um das Nicht-Auswahlproblem zu adressieren.

Kernmechanismus

PrISM arbeitet mit festgroßen Minderungsfenstern, nutzt jedoch eine Abgetastete Historie-Warteschlange (SHQ), um die Zeilenaktivität über die Zeit zu verfolgen.

1. Abtastung: In jedem Fenster abtastet PrISM zufällig $R$ Aktivierungsschlitze aus insgesamt $W$ Schlitzen.
2. Schnittstellenerkennung: Wenn eine Zeile abgetastet wird, prüft PrISM, ob sie mit einem Eintrag in der SHQ übereinstimmt, die abgetastete, aber noch nicht geminderte Zeilen aus den vorherigen $L$ Fenstern (dem Rückblickfenster) speichert.
3. Minderungsanforderung:
   • Standardminderung: Eine nicht-schnittende abgetastete Zeile wird als Standardminderungskandidat für das Fenster ausgewählt.
   • Zusätzliche Minderung: Wenn eine abgetastete Zeile mit einem Eintrag in der SHQ übereinstimmt (eine „Schnittstelle"), deutet dies auf persistente Aktivität hin. PrISM fügt diese Zeile in eine Ausstehende Minderungs-Warteschlange (PMQ) ein und fordert über das bestehende JEDEC-Alert Back-Off (ABO)-Protokoll eine zusätzliche Minderung an.
4. Bedienung: Die PMQ puffert Zeilen, die auf Bedienung warten. Zeilen werden während Standardmöglichkeiten (Target Row Refresh oder proaktive RFMs) gemindert. Füllt sich die PMQ oder überschreitet die Aktivierungszahl einer Zeile einen Verzögerungsschwellenwert ($T_{PMQ}$), setzt PrISM einen Alert, um eine sofortige RFM auszulösen.

Wichtige Designmerkmale

• Keine prozeilenweisen Zähler: PrISM vermeidet den Flächen- und Timing-Überhead von PRAC, indem es keine Zähler für jede Zeile führt.
• Dynamische Minderungsrate: Im Gegensatz zu MINT, das die Minderungsrate global erhöht, wenn $T_{RH-D}$ sinkt, hält PrISM die Standardminderungsrate niedrig. Sie erhöht die Minderungsfrequenz nur, wenn persistente Aktivität (Schnittstellen) erkannt wird.
• JEDEC-Kompatibilität: PrISM nutzt das bestehende ABO-Protokoll erneut und erfordert keine Änderungen am DRAM-Array oder an der Schnittstelle.
• Adresszuordnung: Für extrem niedrige Schwellenwerte ($T_{RH-D} \le 250$) verwendet PrISM eine zufällige Adresszuordnung, um zu verhindern, dass harmlose Arbeitslasten mit hoher räumlicher Lokalität falsche Schnittstellen auslösen.

3. Hauptbeiträge

• Identifizierung des Nicht-Auswahlproblems: Die Arbeit identifiziert die statistische Barriere, bei der fest-ratenbasierte probabilistische Abwehrmaßnahmen bei niedrigen Schwellenwerten versagen, und macht einen neuen Ansatz erforderlich, der nicht auf einer uniformen Raten-Skalierung basiert.
• PrISM-Design: Eine neuartige, schnittstellenbasierte Minderung, die eine SHQ verwendet, um abgetastete Zeilen über Fenster hinweg zu korrelieren und gezielte zusätzliche Minderungen nur für persistente Angreiferzeilen zu ermöglichen.
• Sicherheitsanalyse: Die Autoren modellieren einen Worst-Case-Angriff „Circular-X-Rows", um den minimal unterstützten $T_{RH-D}$ für verschiedene Konfigurationen der Fenstergröße ($W$), der abgetasteten Schlitze ($R$) und des Rückblickfensters ($L$) zu bestimmen.
• Umfassende Evaluierung: Die Arbeit bewertet PrISM gegenüber PRAC (speziell QPRAC) und MINT über 57 Arbeitslasten hinweg, wobei $T_{RH-D}$, Speicherintensität und Systemkonfigurationen variiert werden.

4. Ergebnisse

Die Evaluierung, durchgeführt mit dem DRAM-Simulator Ramulator2 mit einem 8-Kern-OoO-Prozessor und DDR5-8000B, zeigt Folgendes:

• Leistungsüberhead:
  • Bei $T_{RH-D} = 500$ verursacht PrISM eine vernachlässigbare durchschnittliche Verlangsamung von 0,2 %, verglichen mit 14 % für PRAC und 7,1 % für MINT.
  • Bei dem extrem niedrigen Schwellenwert von $T_{RH-D} = 250$ erreicht PrISM eine durchschnittliche Verlangsamung von 1,5 %. Im Gegensatz dazu erleidet MINT eine Verlangsamung von 10,7 %, und PRAC bleibt bei ~14 %.
  • Bei speicherintensiven Arbeitslasten reduziert PrISM die Verlangsamung von 17,5 % (MINT bei $T_{RH-D}=250$) auf 2,5 %.
• Speicherüberhead:
  • PrISM erfordert bei $T_{RH-D}=500$ nur 625 Byte SRAM pro Bank.
  • Dies ist 20-mal kleiner als Mithril und 170-mal kleiner als ProTRR bei demselben Schwellenwert. Selbst bei $T_{RH-D}=250$ liegt der Speicherbedarf von PrISM um ein bis zwei Größenordnungen unter dem sicherer zählerbasierter Abwehrmaßnahmen.
• Leistungsüberhead:
  • Der Leistungsüberhead ist minimal und wird auf etwa 0,6 % bis 1,0 % der gesamten DRAM-Chip-Leistung geschätzt, hauptsächlich aufgrund der SRAM-Strukturen und eines kleinen TRNG.
• Sicherheit:
  • PrISM unterstützt $T_{RH-D}$ bis hinunter zu 250 mit einem Zielwert für die mittlere Zeit bis zum Ausfall (MTTF) von 10.000 Jahren pro Bank.
  • Das System ist robust gegen Denial-of-Service (DoS)-Angriffe; während ein Angreifer Worst-Case-Verlangsamungen erzwingen kann (bis zu 2,31-fach bei $T_{RH-D}=250$), ist dies mit bestehenden Speicherleistungsangriffen vergleichbar.

5. Bedeutung und Behauptungen

Die Arbeit behauptet, dass PrISM einen bedeutenden Fortschritt in der RowHammer-Abwehr darstellt, indem es die Skalierbarkeitsgrenzen probabilistischer Schemata auflöst, ohne die hohen Kosten deterministischer zählerbasierter Ansätze in Kauf zu nehmen.

• Skalierbarkeit: PrISM skaliert erfolgreich auf niedrige $T_{RH-D}$ (bis hinunter zu 250), indem es die Minderung nur bei Bedarf dynamisch erhöht und so die Strafe der „festen Raten-Skalierung" früherer probabilistischer Methoden vermeidet.
• Praktikabilität: Durch die Wiederverwendung des bestehenden ABO-Protokolls und den Verzicht auf Änderungen am DRAM-Array wird PrISM als praktische Lösung für kurzfristige DDR5-Systeme präsentiert, bei denen die PRAC-Einführung aufgrund ihres hohen Überheads unsicher ist.
• Effizienz: Die Kombination aus vernachlässigbarer Leistungsverlangsamung, minimalen Speicheranforderungen und niedrigem Stromverbrauch positioniert PrISM als überlegene Alternative sowohl zu PRAC als auch zu bestehenden probabilistischen Abwehrmaßnahmen wie MINT, insbesondere für hochleistungsfähige, speicherintensive Arbeitslasten.

Die Autoren kommen zu dem Schluss, dass PrISM einen sicheren RowHammer-Schutz bietet, dessen Leistungs- und Flächeneigenschaften eine kommerzielle Einführung in aktuellen und zukünftigen DRAM-Technologien ermöglichen.