技术摘要：从集群到实验室：重新审视工业级 Rowhammer 防护的安全性与复杂性

1. 问题陈述

Rowhammer 攻击利用频繁激活 DRAM 行的操作来诱发相邻受害者行的位翻转（bit-flips）。虽然在 DRAM 内部的防护机制（如 Target Row Refresh, TRR）已被部署，但事实证明它们容易受到复杂的攻击。因此，内存控制器（MC）侧的防护措施变得日益必要，特别是为了保护可能仍会使用超过十年的遗留 DDR5 DIMM。

目前的 MC 侧解决方案面临着**追踪存储（tracking storage）与防护率（mitigation rate）**之间的根本权衡：

• 确定性追踪器（例如 Misra-Gries）： 精确识别攻击行，对良性工作负载造成的性能下降几乎为零。然而，它们需要每个 bank 拥有数百个条目的庞大内容寻址存储器（CAM）结构，由于面积和复杂性问题，这在商业部署中并不切实际。
• 概率性追踪器（例如 PARA）： 不需要存储空间，但在良性工作负载下也会频繁触发防护，导致显著的性能开ap。

微软最近在 Azure Cobalt 200 中部署了 Sigries，试图通过结合一个欠配置的 Misra-Gries 追踪器（针对每个 sub-bank）和一个行采样（PARA）回退机制来弥补这一差距。虽然 Sigries 旨在实现良性工作负载下的零性能下降，但本文指出了其设计中存在的关键安全缺陷和不必要的复杂性。

2. Sigries 漏洞分析

本文对 Sigries 进行了严谨的分析，揭示了两个主要问题：

A. “重型到轻型”转换漏洞（The "Heavy-to-Lite" Transition Vulnerability）

Sigries 以两种模式运行：轻量模式（Lite-mode，追踪器激活）和重型模式（Heavy-mode，PARA 采样激活）。该设计假设如果每种模式在孤立状态下都是安全的，那么模式间的转换也是安全的。

• 缺陷： 本文证明了从 Heavy-mode (PARA) 回到 Lite-mode (Tracker) 的转换是不安全的。在 Heavy-mode 下，一行可以累积高达全额 Rowhammer 阈值 ($T_{RH}$) 的未防护激活次数。当切换到 Lite-mode 时，追踪器会重置，允许该行再次累积 $T_{MG}$（通常为 $T_{RH}/2$）次激活。
• 攻击方式： 攻击者可以通过在 Heavy-mode 下累积 $T_{RH}$ 次激活，然后切换到 Lite-mode 再累积 $T_{MG}$ 次激活，从而在没有任何一次防护的情况下达到总计 $1.5 \times T_{RH}$ 次激活。这违反了安全保证。

B. 轮询攻击与 MTTF 崩溃（Round-Robin Attack and MTTF Collapse）

Sigries 试图通过限制“脆弱窗口”（vulnerability window）的占空比（例如每个 sub-bank 每年 1 小时）来限制这种暴露。

• 攻击方式： 作者提出了针对系统中所有 sub-bank 进行交替攻击的轮询攻击（Round-Robin Attack）。通过以交错方式逐个攻击 sub-bank，攻击者可以确保在几乎所有时间（约 70% 的时间）内，系统中总有某个 sub-bank 处于脆弱窗口中。
• 影响： 这种攻击将系统的平均失效时间（MTTF）从标准 PARA 的 13 年降低到了大约 1 秒。这代表了高达八个数量级的安全性下降，使得“占空比”防御在系统级安全面前形同虚设。

C. 复杂度开销

Sigries 在每次激活时仍保留了对其欠配置追踪器进行 CAM 查找的复杂度，这抵消了转向非全量 Misra-Gries 追踪所带来的潜在复杂度收益。

3. 提出的解决方案：FiRM（过滤式 Rowhammer 防护）

作者提出了 FiRM (Filtered Rowhammer Mitigation)，这是一个协同设计的解决方案，它在确保两种模式及转换过程安全性的同时，消除了 CAM 复杂度。其核心洞察是：追踪过滤器和回退机制必须共享一个单一且有界的激活预算 ($T_{RH}$)，而不是独立配置。

FiRM 使用简单的、无标签的、直接映射的 SRAM 过滤器（一个计数器表）取代了基于 CAM 的 Misra-Gries 追踪器。该过滤器用于追踪某一区域的激活计数是否超过了过滤阈值 ($T_F$)。

变体 1：FiRM-P（概率型）

FiRM-P 使用 PARA 作为回退，但修改了采样策略以确保安全性。

• 机制： 它根据状态采用非均匀采样概率 ($p_1, p_2, p_3$)：
  • 进入阶段 ($p_1$)： 当首次超过 $T_F$ 时具有高概率（例如 1/25），以补偿过滤器允许额度减少后的剩余预算。
  • 过渡阶段 ($p_1$)： 维持高概率一个额外的窗口，以处理残留的激活次数。
  • 稳态阶段 ($p_2$)： 一旦系统在 Heavy-mode 中趋于稳定，则采用低概率（例如 1/150，与 Sigries 一致）。
  • 退出阶段 ($p_3$)： 当向 Lite-mode 转换时，提高概率（例如 1/60），以确保剩余预算足够。
• 安全性： 通过在过滤器允许额度和采样预算之间划分 $T_{RH}$ 预算，FiRM-P 保证了无论模式如何转换，任何行都不会超过 $T_{RH}$ 次激活。
• 存储： 使用简单的 SRAM 计数器（11 位）而非 CAM 标签，使存储空间比 Sigries 减少了 2.5 倍。

变体 2：FiRM-D（确定型）

FiRM-D 摆脱了对随机数生成器 (RNG) 和概率采样的依赖，提供保证的确定性安全性。

• 机制： 它使用跨 bank（即一组行/gang）的共享计数器，并根据计数器值调节防护速率。
  • 低于 $T_F$ 时： 零防护（良性模式）。
  • 高于 $T_F$ 时： 进行有节奏的、确定性的防护。
• 基于 Epoch 的操作： 为了平衡性能与安全性，FiRM-D 使用基于 epoch 的方法：在进入和退出阶段通过“快速渐进”（Fast Gradual）模式（更高的防护率）来确保安全，然后在稳态攻击期间进入“慢速渐进”（Slow Gradual）模式。
• 安全性： 提供确定性安全性，无需 RNG，确保任何行都不会超过 $T_{RH}$ 次激活。
• 存储： 所需存储量不到 Sigries 的 三分之二，并消除了 CAM 复杂度。

4. 关键结果

作者使用带有 DDR5 参数和各种工作负载（SPEC2017, GAP, STREAM）的 DRAMSim3 模拟器对 FiRM 与 Sigries 及 PARA 进行了评估。

• 安全性：
  • FiRM-P 和 FiRM-D 是完全安全的，不存在脆弱窗口，而 Sigries 则易受轮询攻击的影响。
  • FiRM-D 提供确定性安全性，无需 RNG。
• 性能（良性工作负载）：
  • FiRM-P 和 FiRM-D： 对所有良性工作负载的性能下降均为 0%，因为它们保持在 Lite-mode（过滤模式），此时不会触发防护。
  • Sigries： 同样为 0% 下降。
  • PARA： 平均造成 4.4% 的性能下降。
  • PRAC (In-DRAM)： 平均造成 8.4% 的性能下降。
• 性能（遭受攻击时）：
  • FiRM-P 和 Sigries： 在受到攻击时都会退化为类似 PARA 的行为，产生类似的性能下降（平均 ~4.3%，最大 ~7.7%）。
  • FiRM-D： 在受到攻击时性能下降更高（约为 FiRM-P 的 2 倍），因为它必须刷新整个行组（gang）中的所有行。然而，作者认为这是可以接受的，因为其速率是受限且在设计时已知的，满足了 liveness（存活性）要求，且不会产生微秒级的延迟。
• 存储与复杂度：
  • FiRM-P： 每个 bank 需要 352 字节（0.4x Sigries），消除了 CAM 查找。
  • FiRM-D： 每个 bank 需要 544 字节（0.63x Sigries），消除了 CAM 和 RNG。

5. 重要性与主张

本文声称，在有效的 Rowhammer 防护中，Sigries 设计中固有的安全性权衡和 CAM 复杂度是并非必不可少的。

• 原则性设计： 通过协同设计过滤器和回退机制以共享单一激活预算，FiRM 在所有模式和转换过程中实现了强有力的安全性，避免了 Sigries 中发现的“不安全转换”缺陷。
• 简洁性： 使用简单的 SRAM 过滤器（直接映射计数器）取代复杂的 CAM 结构，显著降低了硬件面积和功耗。
• 灵活性： FiRM 提供了既有概率型（FiRM-P）又有确定型（FiRM-D）的选择，允许系统设计者根据其特定的安全性和复杂度约束进行选择。
• 实用性： 该方案满足了 Rowhammer 防护的所有六项商业需求（极低开销、无异常值、存活性、低成本、灵活性和可配置安全性），同时在安全性鲁棒性和硬件复杂度方面优于现有解决方案。

作者总结道，一种基于原则的方法可以交付强大的安全性与简化的实现，使得 Sigries 特有的脆弱性和复杂性变得可以避免。