기술 요약: Loaded Dice: 확장 가능한 확률적 RowHammer 방어를 위한 비선택 문제 해결

1. 문제 제기

DRAM 행의 반복적 활성화가 인접한 피해 행 (victim rows) 에서 비트 플립을 유발하는 RowHammer 취약점은 DRAM 기술이 발전함에 따라 더욱 심각해지고 있습니다. 비트 플립을 유발하는 데 필요한 최소 활성화 횟수 (RowHammer 임계값, $T_{RH}$) 는 특히 양면 공격 ($T_{RH-D}$) 의 경우 크게 감소했습니다.

기존 완화 전략들은 보안, 성능, 그리고 면적 오버헤드 간의 트레이드오프에 직면해 있습니다:

• 행별 활성화 카운팅 (PRAC): DDR5 표준에 채택된 PRAC 은 각 행별 카운터를 사용하여 활성화 횟수를 정확하게 추적합니다. 그러나 매 활성화마다 읽기 - 수정 - 쓰기 (read-modify-write) 연산을 통해 이러한 카운터를 업데이트하는 것은 DRAM 타이밍 파라미터 (예: $t_{RP}$ 및 $t_{RC}$) 를 크게 증가시켜 상당한 성능 저하 (예: 평균 약 14% 의 속도 감소) 를 초래하며, 카운터 셀로 인한 상당한 면적 오버헤드도 발생합니다.
• 확률적 완화 (예: MINT): 이러한 방식은 주기적 윈도우 내에서 무작위로 행을 선택하여 완화함으로써 행별 카운터를 피합니다. 높은 임계값 ($T_{RH-D} \ge 1000$) 에서는 효과적이지만, 낮은 임계값에서는 **비선택 문제 (non-selection problem)**로 고통받습니다. 심하게 해머링된 행이 무작위 샘플링에 의해 반복적으로 건너뛰어지지 않도록 보장하기 위해, 이러한 방식들은 완화율을 정적으로 증가시켜야 합니다 (Refresh Management 명령인 RFM 을 더 빈번하게 발행). 이러한 고정된 비율의 확장 (scaling) 은 공격이 존재하지 않을 때조차 유효 메모리 대역폭을 감소시키고 상당한 속도 감소 (예: $T_{RH-D}=250$에서 17.5%) 를 초래합니다.

핵심적인 과제는 완화 빈도를 균일하게 증가시키지 않으면서 낮은 $T_{RH-D}$에도 확장 가능한 완화 방식을 설계하여, 악성 부하가 아닌 작업 (benign workloads) 에 대한 성능을 유지하면서도 보안을 확보하는 것입니다.

2. 방법론: PrISM

저자들은 비선택 문제를 해결하기 위해 완화 윈도우 간에 샘플링된 행 주소를 상관관계 분석하는 확장 가능한 DRAM 내 방어 방식인 PrISM(Probabilistic Intersection-based Sampling Mitigation) 을 제안합니다.

핵심 메커니즘

PrISM 은 고정 크기의 완화 윈도우에서 작동하지만, 시간 경과에 따른 행 활동을 추적하기 위해 **샘플링된 히스토리 큐 (SHQ, Sampled History Queue)**를 활용합니다.

1. 샘플링: 각 윈도우에서 PrISM 은 총 $W$개의 슬롯 중 $R$개의 활성화 슬롯을 무작위로 샘플링합니다.
2. 교차점 감지 (Intersection Detection): 행이 샘플링될 때, PrISM 은 이전 $L$개의 윈도우 (되돌아보기 윈도우, lookback window) 에서 샘플링되었으나 아직 완화되지 않은 행들을 저장하는 SHQ 의 항목과 일치하는지 확인합니다.
3. 완화 요청:
   • 기본 완화: 윈도우의 기본 완화 후보로 교차점이 없는 샘플링된 행 하나를 선택합니다.
   • 추가 완화: 샘플링된 행이 SHQ 의 항목과 일치하는 경우 (즉, "교차점" 발생), 이는 지속적인 활동을 나타냅니다. PrISM 은 이 행을 **대기 완화 큐 (PMQ, Pending Mitigation Queue)**에 넣고, 기존 JEDEC Alert Back-Off (ABO) 프로토콜을 통해 추가 완화를 요청합니다.
4. 서비스: PMQ 는 서비스를 기다리는 행들을 버퍼링합니다. 행들은 기본 기회 (Target Row Refresh 또는 사전 예방적 RFM) 동안 완화됩니다. PMQ 가 가득 차거나 행의 활성화 횟수가 지체 임계값 ($T_{PMQ}$) 을 초과하면, PrISM 은 즉시 RFM 을 트리거하기 위해 Alert 을 발생시킵니다.

주요 설계 특징

• 행별 카운터 부재: PrISM 은 모든 행에 대한 카운터를 유지하지 않으므로 PRAC 의 면적 및 타이밍 오버헤드를 피합니다.
• 동적 완화율: $T_{RH-D}$가 감소함에 따라 완화율을 전역적으로 증가시키는 MINT 와 달리, PrISM 은 기본 완화율을 낮게 유지합니다. 지속적인 활동 (교차점) 이 감지될 때만 완화 빈도를 증가시킵니다.
• JEDEC 호환성: PrISM 은 기존 ABO 프로토콜을 재사용하며 DRAM 어레이나 인터페이스에 변경이 필요 없습니다.
• 주소 매핑: 초저 임계값 ($T_{RH-D} \le 250$) 의 경우, PrISM 은 높은 공간적 국소성을 가진 악성 부하가 잘못된 교차점을 유발하는 것을 방지하기 위해 무작위 주소 매핑을 사용합니다.

3. 주요 기여

• 비선택 문제의 식별: 고정된 비율의 확률적 방어 방식이 낮은 임계값에서 실패하는 통계적 장벽을 식별하여, 균일한 비율 확장에 의존하지 않는 새로운 접근 방식이 필요함을 밝혔습니다.
• PrISM 설계: SHQ 를 사용하여 윈도우 간 샘플링된 행들을 상관관계 분석하고, 지속적인 공격자에 대해서만 표적화된 추가 완화를 가능하게 하는 새로운 교차점 기반 완화 방식을 제시했습니다.
• 보안 분석: 저자들은 윈도우 크기 ($W$), 샘플링된 슬롯 ($R$), 그리고 되돌아보기 윈도우 ($L$) 의 다양한 구성에 대해 최소 지원 $T_{RH-D}$를 결정하기 위해 최악의 시나리오인 "Circular-X-Rows" 공격을 모델링했습니다.
• 종합 평가: 57 가지 워크로드에 대해 $T_{RH-D}$, 메모리 강도, 시스템 구성을 변화시키며 PrISM 을 PRAC(특히 QPRAC) 및 MINT 와 비교 평가했습니다.

4. 결과

8 코어 OoO 프로세서와 DDR5-8000B 를 사용한 Ramulator2 DRAM 시뮬레이터로 수행된 평가는 다음과 같은 결과를 보여줍니다:

• 성능 오버헤드:
  • $T_{RH-D} = 500$에서 PrISM 은 PRAC 의 14% 및 MINT 의 7.1% 에 비해 무시할 수 있는 **0.2%**의 평균 속도 감소를 초래합니다.
  • 초저 임계값인 $T_{RH-D} = 250$에서 PrISM 은 **1.5%**의 평균 속도 감소를 달성합니다. 반면 MINT 는 **10.7%**의 속도 감소를 겪고, PRAC 은 약 14% 수준을 유지합니다.
  • 고메모리 강도 워크로드에서 PrISM 은 MINT 가 $T_{RH-D}=250$에서 겪는 17.5% 의 속도 감소를 2.5% 로 줄입니다.
• 저장 공간 오버헤드:
  • PrISM 은 $T_{RH-D}=500$에서 뱅크당 625B 의 SRAM만 필요합니다.
  • 이는 동일한 임계값에서 Mithril 보다 20 배, ProTRR 보다 170 배 작습니다. $T_{RH-D}=250$에서도 PrISM 의 저장 공간은 안전한 카운터 기반 방어 방식보다 1~2 차수 (orders of magnitude) 더 낮습니다.
• 전력 오버헤드:
  • 전력 오버헤드는 SRAM 구조와 작은 TRNG 로 인해 총 DRAM 칩 전력의 약 **0.6% 에서 1.0%**로 매우 미미합니다.
• 보안:
  • PrISM 은 뱅크당 목표 평균 고장 간격 (MTTF) 이 10,000 년이 되도록 $T_{RH-D}$를 250 까지 지원합니다.
  • 시스템은 서비스 거부 (DoS) 공격에 강건합니다. 공격자가 최악의 경우 속도 감소 ( $T_{RH-D}=250$에서 최대 2.31 배) 를 강요할 수 있지만, 이는 기존 메모리 성능 공격과 비교 가능한 수준입니다.

5. 의의 및 주장

이 논문은 PrISM 이 확률적 방식의 확장성 한계를 해결하면서도 결정론적 카운터 기반 접근법의 높은 비용을 치르지 않고 RowHammer 방어 분야에서 중요한 진전을 이루었다고 주장합니다.

• 확장성: PrISM 은 필요할 때만 동적으로 완화를 증가시킴으로써 낮은 $T_{RH-D}$(최소 250) 까지 성공적으로 확장하며, 기존 확률적 방법들의 "고정된 비율 확장" 페널티를 피합니다.
• 실용성: 기존 ABO 프로토콜을 재사용하고 DRAM 어레이 수정이 필요 없기 때문에, 높은 오버헤드로 인해 PRAC 채택이 불확실한 차세대 DDR5 시스템에 대한 실용적인 솔루션으로 제시됩니다.
• 효율성: 무시할 수 있는 성능 저하, 최소한의 저장 공간 요구 사항, 그리고 낮은 전력 소비의 조합은 PrISM 을 PRAC 및 기존 확률적 방어 방식 (예: MINT) 보다 우월한 대안으로 위치시킵니다. 특히 고성능 및 고메모리 강도 워크로드에 적합합니다.

저자들은 PrISM 이 현재 및 미래 DRAM 기술의 상업적 배포에 실현 가능한 성능 및 면적 특성을 갖춘 안전한 RowHammer 보호를 제공한다고 결론지었습니다.