기술 요약: 플릿에서 랩으로: 산업용 Rowhammer 완화 기술의 보안 및 복잡성 재고

1. 문제 정의

Rowhammer 공격은 DRAM 행(row)을 빈번하게 활성화하여 인접한 피해 행에 비트 플립(bit-flip)을 유도하는 방식이다. TRR(Target Row Refresh)과 같은 인-드램(in-DRAM) 완화 기술이 배포되었으나, 정교한 공격에 취약함이 드러났다. 결과적으로, 10년 이상 사용될 수 있는 레거시 DDR5 DIMM을 보호하기 위해 메모리 컨트롤러(MC) 측면의 완화 기술이 점점 더 중요해지고 있다.

현재의 MC 측면 솔루션들은 **추적 저장 공간(tracking storage)**과 완화율(mitigation rate) 사이의 근본적인 트레이드오프에 직면해 있다:

• 결정론적 추적기 (예: Misra-Gries): 공격자 행을 정확하게 식별하며, 일반적인 워크로드에서 성능 저하가 거의 없다. 그러나 수백 개의 엔트리를 가진 대규모 CAM(Content-Addressable Memory) 구조를 필요로 하므로, 면적과 복잡성 문제로 인해 상업적 배포가 어렵다.
• 확률적 추적기 (예: PARA): 별도의 저장 공간이 필요 없지만, 일반적인 워크로드에서도 빈번한 완화를 수행하여 상당한 성능 오버헤드를 발생시킨다.

Microsoft는 최근 Azure Cobalt 200에 Sigries를 도입하여, 부족하게 프로비저닝된 Misra-Gries 추적기(서브뱅크당)와 행 샘플링(PARA) 폴백(fallback)을 결적으로 결합함으로써 이 간극을 메우려 시도했다. Sigries는 일반적인 워크로드에서 제로 다운타임을 목표로 하지만, 본 논문은 이 설계의 치명적인 보안 결함과 불필요한 복잡성을 지적한다.

2. Sigries의 취약점 분석

본 논문은 Sigries에 대한 엄격한 분석을 통해 두 가지 주요 문제를 제시한다.

A. "Heavy-to-Lite" 전환 취약점

Sigries는 두 가지 모드로 작동한다: Lite-mode(추적기 활성)와 Heavy-mode(PARA 샘플링 활성). 이 설계는 각 모드가 독립적으로 안전하다면 모드 간 전환도 안전할 것이라고 가정한다.

• 결함: 논문은 Heavy-mode(PARA)에서 Lite-mode(Tracker)로의 전환이 안전하지 않음을 입증한다. Heavy-mode에서는 한 행이 완화되지 않은 활성화 횟수의 최대치인 $T_{RH}$까지 누적될 수 있다. Lite-mode로 전환될 때 추적기가 리셋되면서, 해당 행은 추가로 $T_{MG}$(통상 $T_{RH}/2$)만큼의 활성화를 더 누적할 수 있다.
• 공격: 공격자는 이를 악용하여 Heavy-mode에서 $T_{RH}$만큼의 활성화를 누적한 뒤, Lite-mode로 전환하여 추가로 $T_{MG}$만큼을 더 누적함으로써, 단 한 번의 완화 없이 총 $1.5 \times T_{RH}$의 활성화를 달성할 수 있다. 이는 보안 보장(security guarantee)을 위반한다.

B. 라운드 로빈(Round-Robin) 공격 및 MTTF 붕괴

Sigries는 이 취약성 윈도우(vulnerability window)를 특정 듀티 사이클(예: 서브뱅크당 연간 1시간)로 제한하여 노출을 억제하려 한다.

• 공격: 저자들은 시스템 내의 모든 서브뱅크를 대상으로 하는 라운드 로빈 공격을 제안한다. 공격자가 여러 서브뱅크를 순차적으로 번갈아 가며 공격함으로써, 시스템의 거의 모든 시간(약 70%) 동안 어떤 서브뱅크에서는 반드시 취약성 윈도우가 열려 있도록 만든다.
• 영향: 이 공격은 시스템의 평균 고장 시간(MTTF)을 표준 PARA의 목표치인 13년에서 약 1초로 감소시킨다. 이는 보안성을 8단계(eight-order-of-magnitude)나 떨어뜨려, "듀티 사이클" 방어 기제를 시스템 수준의 보안 관점에서 무력화한다.

C. 복잡성 오버헤드

Sigries는 모든 활성화 시점에 부족하게 프로비저닝된 추적기를 위한 CAM 룩업(lookup)을 유지하므로, 전체 Misra-Gries 추적을 피함으로써 얻을 수 있는 잠재적인 복잡성 이점을 상쇄한다.

3. 제안된 솔루션: FiRM (Filtered Rowhammer Mitigation)

저자들은 보안을 보장하면서 전환 과정에서도 안전하고 CAM 복잡성을 제거하는 공동 설계 솔루션인 FiRM을 제안한다. 핵심 통찰은 추적 필터와 폴백 메커니즘이 독립적으로 구성되는 대신, 하나의 제한된 활성화 예산($T_{RH}$)을 공유해야 한다는 것이다.

FiRM은 CAM 기반의 Misra-Gries 추적기를 단순하고 태그가 없는 직접 매핑(direct-mapped) 방식의 SRAM 필터(카운터 테이블)로 대체한다. 이 필터는 특정 영역의 활성화 횟수가 필터링 임계값($T_F$)을 초과하는지 추적한다.

변형 1: FiRM-P (Probabilistic)

FiRM-P는 PARA를 폴백으로 사용하되, 전환 시 보안을 보장하도록 샘플링 전략을 수정한다.

• 메커니즘: 상태에 따라 비균등 샘플링 확률($p_1, p_2, p_3$)을 적용한다:
  • 진입 단계 ($p_1$): 필터 허용량 이후 남은 예산을 고려하여 높은 확률(예: 1/25)을 적용한다.
  • 브리지 단계 ($p_1$): 잔여 활성화를 처리하기 위해 한 번의 추가 윈도우 동안 높은 확률을 유지한다.
  • 정상 상태 ($p_2$): 시스템이 Heavy-mode에서 안정화되면 낮은 확률(예: 1/150, Sigries와 동일)을 유지한다.
  • 탈출 단계 ($p_3$): Lite-mode로 전환될 때 남은 예산이 충분하도록 높은 확률(예: 1/60)을 적용한다.
• 보안: $T_{RH}$ 예산을 필터 허용량과 샘플링 예산으로 분할함으로써, 모드 전환과 관계없이 어떤 행도 $T_{RH}$ 이상의 활성화를 초과하지 않음을 보장한다.
• 저장 공간: CAM 태그 대신 단순한 SRAM 카운터(11비트)를 사용하여 Sigries 대비 저장 공간을 2.5배 줄인다.

변형 2: FiRM-D (Deterministic)

FiRM-D는 난수 생성기(RNG)에 의존하지 않고 결정론적 보안을 제공한다.

• 메커니즘: 뱅크 간 공유 카운터(행들의 "gang")를 사용하며, 카운터 값에 따라 완화율을 조절한다.
  • $T_F$ 미만: 완화 없음 (Benign 모드).
  • $T_F$ 초과: 단계적이고 결정론적인 완화 수행.
• 에포크(Epoch) 기반 동작: 성능과 보안의 균형을 맞추기 위해, FiRM-D는 진입 및 탈출 단계에서 "Fast Gradual" 모드(높은 완화율)를 거친 후, 정상 상태 공격에 대해서는 "Slow Gradual" 모드로 안착한다.
• 보안: RNG 없이 결정론적 보안을 제공하여, 어떤 행도 $T_{RH}$ 이상의 활성화를 넘지 않도록 보장한다.
• 저장 공간: Sigries의 3분의 2 미만의 저장 공간을 요구하며, CAM 복잡성을 제거한다.

4. 주요 결과

본 논문은 DDR5 파라미터와 다양한 워크로드(SPEC2017, GAP, STREAM)를 사용하는 DRAMSim3 시뮬레이션을 통해 FiRM을 Sigries 및 PARA와 비교 평가한다.

• 보안성:
  • FiRM-P와 FiRM-D는 취약성 윈도우가 없는 완전한 보안을 제공하며, 이는 라운드 로빈 공격에 취약한 Sigries와 대조적이다.
  • FiRM-D는 결정론적 보안을 제공하여 RNG의 필요성을 제거한다.
• 성능 (일반 워크로드):
  • FiRM-P 및 FiRM-D: 모든 일반 워크로드에서 0%의 다운타임을 기록한다. 이는 필터링 모드(Lite-mode)에 머물며 완화가 트리거되지 않기 때문이다.
  • Sigries: 역시 0%의 다운타임을 보인다.
  • PARA: 평균 **4.4%**의 다운타임을 유발한다.
  • PRAC (In-DRAM): 평균 **8.4%**의 다운타임을 유발한다.
• 성능 (공격 시):
  • FiRM-P 및 Sigries: 공격 시 둘 다 PARA와 유사한 동작으로 퇴화하며, 비슷한 다운타임(평균 ~4.3%, 최대 ~7.7%)을 보인다.
  • FiRM-D: 공격 시 더 높은 다운타임(약 FiRM-P의 2배)을 유발한다. 이는 행 갱(gang) 전체를 리프레시해야 하기 때문이다. 그러나 저자들은 이 비율이 설계 시점에 제한되고 알려져 있으므로, 마이크로초 단위의 지연 없이 라이브니스(liveness) 요구사항을 충족한다고 주장한다.
• 저장 공간 및 복잡성:
  • FiRM-P: 뱅크당 352 바이트(Sigries의 0.4배)를 사용하며, CAM 룩업을 제거한다.
  • FiRM-D: 뱅크당 544 바이트(Sigries의 0.63배)를 사용하며, CAM 및 RNG를 제거한다.

5. 의의 및 주장

본 논문은 Sigries의 설계에 내재된 보안 트레이드오프와 CAM 복잡성이 효과적인 Rowhammer 완화를 위해 필수적인 것이 아님을 주장한다.

• 원칙적 설계: 필터와 폴백이 단일 활성화 예산을 공유하도록 공동 설계함으로써, FiRM은 모든 모드와 전환 과정에서 강력한 보안을 달성하고 Sigries에서 발견된 "불안전한 전환" 결함을 피한다.
• 단순성: 복잡한 CAM 구조 대신 단순한 SRAM 필터(직접 매핑 카운터)를 사용하여 하드웨어 면적과 전력 소비를 크게 줄인다.
• 유연성: FiRM은 확률적(FiRM-P) 및 결정론적(FiRM-D) 옵션을 모두 제공하여, 시스템 설계자가 특정 보안 및 복잡성 제약 조건에 따라 선택할 수 있게 한다.
• 실용성: FiRM은 최소한의 오버헤드, 이상치 없음, 라이브니스, 저비용, 유연성, 구성 가능한 보안이라는 6가지 상업적 요구사항을 충족하면서도 보안 견고성과 하드웨어 복잡성 측면에서 기존 솔루션보다 우수한 성능을 보인다.

저자들은 원칙적인 접근 방식을 통해 강력한 보안을 제공하면서도 구현을 단순화할 수 있으며, Sigries의 특정 취약점과 복잡성은 피할 수 있는 것임을 결론짓는다.