From Fleet to Lab: Revisiting the Security and Complexity of Industrial Rowhammer Mitigation
Diese Arbeit legt kritische Sicherheitslücken und hohen Speicheroverhead in Microsofts Sigries Rowhammer-Abschwächungsschema offen, insbesondere dessen unsicheren Übergang zwischen Tracking- und Sampling-Modus, und schlägt FiRM vor, eine ko-designte Lösung unter Verwendung einfacher SRAM-Filter, um einen sicheren Schutz mit geringem Overhead ohne die Komplexität von CAM-basierten Trackern zu erreichen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Moderne Computer verlassen sich auf eine Art von Speicher namens DRAM, um die Daten zu halten, die sie aktiv verwenden. Dieser Speicher besteht aus winzigen elektrischen Kondensatoren, die Bits an Information als Ladungen speichern. Im letzten Jahrzehnt haben Ingenieure diese Komponenten geschrumpft, um mehr Daten auf kleinerem Raum unterzubringen, aber diese Miniaturisierung hat einen physikalischen Nebeneffekt erzeugt. Wenn eine bestimmte Zeile von Speicherzellen wiederholt und schnell aufgerufen wird, kann die elektrische Ladung in benachbarte Zeilen überlaufen, was dazu führt, dass diese ihre gespeicherten Werte von Null auf Eins oder umgekehrt ändern. Dieses Phänomen, bekannt als Rowhammer, ist nicht nur ein Zuverlässigkeitsproblem, das zufällige Fehler verursacht; es ist eine ernsthafte Sicherheitsbedrohung. Ein Angreifer kann diese Umschläge absichtlich auslösen, um Daten zu korrumpieren oder in sichere Systeme einzubrechen. Da das Problem in der physischen Hardware verwurzelt ist, kann Software allein es nicht beheben. Die Verteidigung muss in der Hardware selbst stattfinden, speziell im Speichercontroller, der als Verkehrsmanager für den Datentransport zwischen dem Prozessor und den Speicherchips fungiert.
Die Herausforderung für Hardware-Designer besteht darin, zwei konkurrierende Bedürfnisse abzuwägen: Sicherheit und Geschwindigkeit. Um Rowhammer zu stoppen, muss der Speichercontroller verfolgen, welche Zeilen zu häufig aufgerufen werden, und deren Nachbarn auffrischen, um Fehler zu vermeiden. Der präziseste Weg, dies zu tun, besteht darin, eine detaillierte Liste jeder aktiven Zeile zu führen, aber dies erfordert komplexe und teure Hardware, die den Computer verlangsamt. Eine einfachere, schnellere Methode ist es, Nachbarn jedes Mal zufällig aufzufrischen, wenn eine Zeile aufgerufen wird, aber dies verlangsamt den Computer selbst dann, wenn kein Angriff stattfindet, weil es unnötige Arbeit verrichtet. Jahrelang hat die Industrie darum gerungen, einen Mittelweg zu finden, der starke Sicherheit bietet, ohne die Leistung des Computers zu bestrafen.
Ein kürzlich entwickeltes Design namens Sigries, das von Microsoft in seinen Azure-Cloud-Servern eingesetzt wird, versuchte dies zu lösen, indem es beide Ansätze kombinierte. Es verwendet einen kleinen, schnellen Tracker, um normale Aktivitäten zu erfassen, und wechselt zu einer zufälligen, probabilistischen Methode, sobald der Tracker voll ist. Die Designer glaubten, dass dieser hybride Ansatz sicher und effizient sei. Forscher der Georgia Institute of Technology haben jedoch herausgefunden, dass dieses Design einen kritischen Fehler enthält. Sie entdeckten, dass der Moment, in dem das System von seinem präzisen Tracker zu seinem zufälligen Fallback wechselt, tatsächlich ein verwundbares Zeitfenster ist, in dem ein Angriff erfolgreich sein kann. Darüber hinaus zeigten sie, dass ein Angreifer diese Schwachstelle gleichzeitig über viele verschiedene Teile des Speichersystems ausnutzen kann, was die Zeit, um das System zu brechen, von Jahren auf nur eine Sekunde reduziert.
Die Forscher Hritvik Taneja und Moinuddin Qureshi haben das Problem nicht nur identifiziert, sondern schlugen auch eine neue Lösung namens FiRM vor, was für Filtered Rowhammer Mitigation steht. Ihre Arbeit zeigt, dass die Unsicherheit des vorherigen Designs nicht unvermeidlich war, sondern das Ergebnis der Art und Weise, wie die beiden verschiedenen Schutzmodi miteinander verbunden waren. Im alten Design operierten die beiden Modi unabhängig voneinander und gingen davon aus, dass die Speicherzeilen bei der Übergabe von einem Modus zum anderen mit einem unbeschriebenen Blatt beginnen würden. Die Forscher erkannten, dass diese Annahme falsch war. Wenn das System vom präzisen Tracker zum zufälligen Fallback wechselt, tragen die Speicherzeilen oft eine „Schuld“ an vorherigen Zugriffen in sich, die der Tracker übersehen hat. Diese verbleibende Schuld ermöglicht es einem Angreifer, in Kombination mit der neuen Zuflsmethode das sichere Limit an Zugriffen zu überschreiten, bevor das System die Daten auffrischen kann.
Um dies zu beheben, entwarf das Team ein System, bei dem die beiden Modi ko-designed sind, um ein einziges, einheitliches Sicherheitsbudget zu teilen. Anstatt dem Tracker und dem Fallback eigene, separate Limits zuzuweisen, stellt FiRM sicher, dass die Gesamtzahl der Zugriffe über beide Modi hinweg niemals das sichere Schwellenwert überschreitet. Sie ersetzten die komplexe, teure Hardware, die zum Tracking verwendet wurde, durch eine viel einfachere Struktur, die wie ein Basiszähler funktioniert. Dieser Zähler muss nicht genau wissen, welche Zeile aufgerufen wird; er muss nur wissen, ob die Aktivität in einem bestimmten Bereich einen gewissen Schwellenwert überschritten hat. Wenn die Aktivität gering ist, unternimmt das System nichts, wodurch die perfekte Geschwindigkeit erhalten bleibt. Wenn die Aktivität diesen Schwellenwert überschreitet, setzt das System eine Schutzmaßnahme ein.
Die Forscher entwickelten zwei Versionen dieses neuen Systems. Die erste, FiRM-P, verwendet einen probabilistischen Fallback ähnlich dem alten Design, passt aber die Intensität des Schutzes während der Übergangsphasen an, um sicherzustellen, dass keine Sicherheitslücken entstehen. Die zweite Version, FiRM-D, ist vollständig deterministisch, was bedeutet, dass sie sich überhaupt nicht auf den Zufall verlässt. Stattdessen plant sie Auffrischungen basierend auf dem Aktivitätszähler sorgfältig ein, wodurch garantiert wird, dass eine Zeile niemals zu viele Zugriffe erhält. Beide Versionen wurden mit Simulationen getestet, die reale Computerarbeitslasten nachahmten. Die Ergebnisse zeigten, dass beide neuen Designs bei normaler, alltäglicher Computernutzung keinen Verlangsamung verursachen und genauso schnell wie ein ungeschütztes System arbeiten. Unter einem Angriff bleiben sie sicher, während das vorherige Design katastrophal versagte.
Die Studie hob auch die Bedeutung der Messung von Sicherheit hervor. Das vorherige Design behauptete, sicher zu sein, weil es die Zeit, in der eine Schwachstelle offen war, pro Jahr auf einen kleinen Betrag für jeden Speicherabschnitt begrenzte. Die Forscher zeigten, dass diese Metrik irreführend war. Durch das Angreifen verschiedener Speicherabschnitte in einer rotierenden Sequenz konnte ein Angreifer das Zeitfenster der Verwundbarkeit fast ständig offen halten und so das Zeitlimit effektiv umgehen. Ihre Analyse ergab, dass ein Rotationsangriff einen Systemfehler in etwa einer Sekunde verursachen konnte, ein massiver Abfall von den dreizehn Jahren Sicherheit, die das vorherige Design versprochen hatte.
Durch den Ersatz der komplexen Hardware-Tracker durch einfache Zähler und das sorgfältige Management des Übergangs zwischen den Schutzmodi bewiesen die Forscher, dass es möglich ist, sowohl starke Sicherheit als auch hohe Leistung zu bieten. Ihre Arbeit legt nahe, dass die teure und komplexe Hardware, die zuvor für diesen Schutz als notwendig erachtet wurde, nicht essenziell ist. Die neuen Designs benötigen deutlich weniger Speicherplatz und eine einfachere Hardwarelogik, was sie zu einer praktischen und sicheren Option für zukünftige Computersysteme macht. Dieser Ansatz stellt sicher, dass Computer bei alltäglichen Aufgaben schnell bleiben können, während sie gleichzeitig robust genug sind, um sophisticated physischen Angriffen auf ihren Speicher standzuhalten.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.