ScaleDisturb: Exploiting Temporal Asymmetry to Amplify Read Disturbance in Modern DRAM Chips

Riepilogo Tecnico: ScaleDisturb

Definizione del Problema
I moderni chip DRAM sono vulnerabili ai fenomeni di disturbo da lettura (read disturbance), nello specifico RowHammer e RowPress, in cui l'accesso ripetuto o l'apertura prolungata di una riga "aggressore" induce il flipping dei bit nelle righe "vittima" fisicamente adiacenti. Sebbene il lavoro precedente abbia caratterizzato queste vulnerabilità utilizzando schemi di accesso specifici (ad esempio, RowHammer a doppia faccia simmetrica o RowPress a doppia faccia simmetrica), tali schemi potrebbero non rappresentare gli scenari peggiori. I meccanismi di mitigazione esistenti si basano su una profilazione accurata del numero minimo di attivazioni dell'aggressore necessarie per indurre un bitflip ($AC_{min}$). Se la vera vulnerabilità è superiore a quanto caratterizzato dagli schemi esistenti, tali protezioni potrebbero fallire. Il paper postula che gli attuali schemi di accesso non sfruttino appieno le dinamiche temporali dei tempi di apertura delle righe DRAM, sottostimando potenzialmente la suscettibilità della moderna DRAM al disturbo da lettura.

Metodologia
Gli autori introducono ScaleDisturb, un nuovo schema di accesso DRAM che sfrutta l'asimmetria temporale. A differenza dei tradizionali schemi a doppia faccia in cui due righe aggentrici adiacenti vengono mantenute aperte per durate uguali, ScaleDisturb estende asimmetricamente il tempo di apertura delle due righe aggentrici ($RN-1$e$RN+1$) mantenendo costante il "Budget di Tempo di Apertura" (Open Time Budget - OTB) totale per ogni ciclo di accesso.

Lo studio impiega una rigorosa metodologia sperimentale:

• Infrastruttura: Gli esperimenti sono stati condotti utilizzando DRAMBender (un'infrastruttura basata su FPGA) per controllare precisamente i comandi DDR4 e HBM2.
• Ambito: Gli autori hanno caratterizzato 196 chip DDR4 commerciali (COTS) (coprendo 15 revisioni di die di Samsung, SK Hynix e Micron) e 3 chip HBM2.
• Controlli: Per isolare gli effetti a livello di circuito, lo studio ha disabilitato la mitigazione on-die (Target Row Refresh), l'ECC e i guasti di ritenzione, completando gli esperimenti entro un singolo intervallo di refresh.
• Metriche: La metrica primaria è $AC_{min}$, ovvero il numero minimo di attivazioni dell'aggressore richiesto per invertire un bit in una riga vittima. Gli autori variano la distribuzione dei tempi di apertura ($t_{AggON1}$ vs. $t_{AggON2}$) attraverso vari valori di OTB (compresi tra 48 ns e 7,8 µs).
• Validazione su Sistema Reale: Un attacco proof-of-concept è stato implementato su un sistema reale basato su DDR4 (Intel i5-10400) con esecuzione di Linux, utilizzando programmi a livello utente per bypassare lo scheduling del controller di memoria e i meccanismi in-DRAM TRR.

Contributi Chiave

1. Scoperta di ScaleDisturb: Il paper è il primo a dimostrare che l'estensione asimmetrica del tempo di apertura di due righe aggentrici induce bitflip con significativamente meno attivazioni rispetto agli schemi simmetrici.
2. Caratterizzazione Estesa: Gli autori forniscono un'analisi completa su 199 chip DRAM reali, dimostrando che ScaleDisturb è un fenomeno diffuso che colpisce tutti i principali produttori.
3. Differenziazione da VRD: Lo studio distingue ScaleDisturb dal Variable Read Disturbance (VRD), mostrando che le riduzioni di $AC_{min}$ indotte da ScaleDisturb sono stabili, riproducibili e distinte in magnitudo e nelle posizioni dei bit invertiti.
4. Dimostrazione su Sistema Reale: Gli autori hanno indotto con successo bitflip su un sistema reale con mitigazione RowHammer (TRR) attiva, provando che programmi a livello utente possono sfruttare ScaleDisturb per bypassare le protezioni esistenti.
5. Analisi e Proposta di Mitigazione: Il paper valuta le soluzioni esistenti (ECC, margini di sicurezza, contatori adattivi) e propone TeACUp (Temporal Asymmetry-aware Counter Update), un nuovo meccanismo di mitigazione progettato per gestire schemi di accesso asimmetrici con un basso overhead.

Risultati

• Vulnerabilità Amplificata: ScaleDisturb riduce l'$AC_{min}$ in media del 9,6% rispetto a RowPress a doppia faccia su tutte le righe testate, con riduzioni che raggiungono fino al 63% in casi specifici. A livello di modulo, l'$AC_{min}$ minima è ridotta in media del 16,1% (fino al 52,4%).
• Tendenze dei Produttori e della Tecnologia: L'effetto è osservato su chip Samsung, SK Hynix e Micron. Inoltre, la vulnerabilità peggiora man mano che la tecnologia DRAM scala verso dimensioni di nodo più piccole (revisioni di die più recenti).
• Diversità degli Schemi: Gli autori identificano tre schemi di riduzione (tipo L, tipo R e tipo Flat) basati su come l'$AC_{min}$ cambia con il rapporto di asimmetria. Gli schemi di tipo L e di tipo R, che mostrano una significativa riduzione di $AC_{min}$, rappresentano circa il 37,5% delle righe vittima in media.
• Posizioni dei Bit Invertiti: ScaleDisturb inverte un set distinto di bit rispetto a RowPress a doppia faccia. Il tasso di sovrapposizione della prima cella invertita scende significativamente all'aumentare dell'OTB, indicando diversi meccanismi fisici di guasto.
• Impatto su Sistemi Reali: Su un sistema reale con TRR, un programma a livello utente utilizzando ScaleDisturb ha indotto bitflip in scenari in cui il RowPress a doppia faccia era fallito. Nei casi in cui entrambi hanno avuto successo, ScaleDisturb ha indotto significativamente più bitflip (ad esempio, 289 contro 8 bitflip in una configurazione di test).
• Overhead di Mitigazione: L'applicazione di ampi margini di sicurezza alle mitigazioni esistenti per tenere conto di ScaleDisturb comporta overhead significativi in termini di prestazioni (fino al 28,6%) ed energia (fino al 58,8%). L'ECC semplice è insufficiente poiché ScaleDisturb può indurre molti più bitflip di quanti SECDED o ChipKill possano correggere.
• Efficacia di TeACUp: Il meccanismo proposto TeACUp mitiga efficacementamente ScaleDisturb aumentando dinamicamente gli incrementi dei contatori per la riga aggentrice "più veloce" (più aperta). Ciò riduce i refresh preventivi non necessari, migliorando le prestazioni del sistema in media del 3,2% rispetto al meccanismo baseline ImPress.

Significatività e Rivendicazioni
Il paper sostiene che ScaleDisturb altera fondamentalmente la comprensione del disturbo da lettura DRAM rivelando che l'asimmetria temporale è un fattore critico di vulnerabilità. Gli autori affermano che:

• Gli attuali meccanismi di mitigazione, che si basano su schemi di accesso simmetrici per la profilazione, sono probabilmente insicuri contro ScaleDisturb.
• La vulnerabilità non è un'anomalia ma una caratteristica diffusa che si intensifica con la scalabilità tecnologica.
• La ricerca futura deve andare oltre gli schemi simmetrici per comprendere i meccanismi fisici (probabilmente legati all'interferenza del campo elettrico e alla migrazione elettronica) che guidano questo fenomeno.
• Una robusta sicurezza di sistema richiede strategie di mitigazione, come TeACUp, che tengano esplicitamente conto dell'asimmetria temporale piuttosto che fare affidamento solo su margini di sicurezza statici o approcci basati su contatori esistenti.

Gli autori concludono chiamando a ulteriori studi a livello di dispositivo per comprendere i meccanismi interni di ScaleDisturb e per lo sviluppo di strategie di mitigazione più complete per le future generazioni di DRAM.