💻 computer science

Recovering a Full AES-128 Key Across Tenant Boundaries via DDR4 Row-Buffer Timing on Cloud FPGAs

本文证明了在共享云端 FPGA 上的完全无特权共同租户，可以通过利用 DDR4 行缓冲（row-buffer）时序侧信道，通过逆向工程银行映射（bank mapping）以及跨多次加密的统计聚合，克服“每银行一个插槽”的限制，从而从受害者处恢复完整的 AES-128 主密钥。

原作者： Vineet Chadalavada, Fareena Saqib

发布于 2026-09-07

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Vineet Chadalavada, Fareena Saqib

原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在现代数字世界中，我们常常想象我们的私人数据被锁在一个安全的保险库中，由层层软件和数字墙与他人的窥视隔离开来。这就是云计算的承诺：不同的用户可以共享相同的强大硬件，而无需看到彼此的工作。然而，计算机存储信息的物理现实却讲述了一个不同的故事。当计算机执行计算时，它通常需要从一个大型列表中查找数值，就像查阅字典寻找定义一样。为了快速完成这一操作，计算机需要打开其内存的一个特定部分，即所谓的行缓冲区（row buffer），以保持该列表处于就绪状态。如果计算机需要查找同一部分的另一个项目，它必须关闭当前的列表并打开一个新的列表，这个过程会多耗费极小的一段时间。这种时间上的差异虽然微乎其微，但却留下了痕迹。正如湿沙地上的脚印会显露某人的行踪一样，访问内存所需的时间可以揭示正在使用哪些数据。几十年来，安全专家一直知道这些微小的时序线索可以被用来从单台计算机中窃取秘密，但问题在于，这种技巧是否能在分隔不同用户的共享云服务器的无形边界之间奏效。

北卡罗来纳大学夏洛特分校的研究人员现在已经证明，仅利用内存访问的时序，确实有可能从共享云服务器上的邻居那里窃取完整的密钥。他们的研究重点是一种被称为现场可编程门阵列（FPGA）的特定类型云硬件，这是一种用于加速复杂任务的可重构芯片。在典型的云设置中，多个用户被放置在同一块物理卡上以节省成本。虽然软件确保了用户 A 无法直接读取用户 B 的文件，但两名用户仍然共享位于主处理器之外的相同物理内存芯片。研究人员表明，一个没有任何特殊权限、无法访问受害者数据且对密钥一无所知的用户，仍然可以恢复其邻居使用的整个加密密钥。他们通过仔细测量自己的计算机在邻居同时进行加密操作时读取内存所需的时间来实现这一点。

这项挑战远比仅仅监听邻居的活动要困难得多。在标准计算机缓存中，每一件数据都会留下其独特的足迹，允许攻击者同时看到密钥的所有十六个部分。然而，这些云服务器中使用的内存芯片表现得不同。它们有一个结构性的限制，即每个内存部分只能记住它最后打开的那个项目。当受害者加密一条消息时，他们在一行中查找十六个不同的值。由于内存部分一次只能保持一个打开的项目，前十五次查找会立即被第十六次查找所覆盖。当攻击者尝试进行监听时，前十五个部分的证据已经消失了，只留下最后一个部分是可见的。这造成了一个障碍，使得标准的黑客技术变得毫无用处，因为攻击者只能看到十六字节密钥中的一个字节，这不足以破解加密。

为了克服这一点，研究人员设计了一种聪明的策略，利用了内存芯片包含十六个独立部分（每个部分都有自己的内存缓冲区）这一事实。他们不再试图在单个部分中监听所有十六个部分，而是重新排列了秘密数据，使得密钥的十六个部分分别存在于十六个不同的内存部分中。这样一来，当受害者查找所有十六个值时，他们同时打开了所有十六个部分，且其中任何一个都不会覆盖其他部分。随后，攻击者构建了一个定制工具，可以快速检查这十六个部分，以查看哪一个仍然处于打开状态。通过使用许多不同的测试消息重复这个过程，攻击者可以收集足够的线索来重建完整的秘密密钥。研究人员在 Xilinx Alveo U250 卡上测试了这种方法，这是数据中心中使用的一种常见硬件。他们发现，通过在运行受害者加密程序的旁边运行自己的程序，他们可以恢复所有测试的十九个密钥中的整个主密钥，即使受害者正在运行一个完整的十轮加密过程。

这次攻击的成功依赖于两个主要发现。首先，研究人员必须弄清楚内存控制器是如何决定将特定数据用于哪个内存部分的。这种映射关系并不直观，且每种类型的硬件都不同。团队通过测量访问不同地址所需的时间来反向工程这一映射关系，从而从外部有效地绘制出内存布局。其次，他们必须证明他们检测到的信号是真实的，而非随机噪声。成功访问与失败访问之间的时间差异极其微小，仅持续约四个时钟周期，或大约三十二纳秒。尽管信号如此微弱，研究人员表明，通过多次尝试进行平均处理，模式就会变得清晰。在他们最真实的测试中，攻击者和受害者运行着完全独立的程序且没有任何协作，攻击者成功地从一个使用经过验证的标准加密算法进行数据加密的受害者那里恢复了完整密钥。

这项工作并不意味着目前所有的云计算都是不安全的，但它揭示了共享硬件管理方式中的一个特定漏洞。研究人员指出，目前大多数商业云实例都是为单个用户专用的，这可以防止此类攻击。然而，随着行业向更高效、更共享的硬件方向发展以降低成本，风险也在增加。该研究强调，逻辑隔离（即保持软件分离）不足以保护物理资源。内存芯片本身保留了访问历史，而这个历史可以被邻居读取。研究人员提出了几种修复方法，例如将秘密数据保存在芯片内部快速、私有的内存中，而不是共享的外部内存，或者将数据存储位置随机化，使时序线索变得毫无意义。他们还提出，云服务提供商可以监控内存访问模式，以检测是否有用户试图监视他人。

这项研究的影响不仅限于一种加密类型。用于窃取密钥的方法依赖于内存工作的基本方式，这意味着它可能适用于其他使用类似查找表的秘密保存算法。研究人员强调，他们的发现是基于实际硬件实验而非计算机模拟，这使得结果具有高度的可靠性。他们在五十个不同的随机密钥和十九个不同的加密场景下测试了该攻击，并且每次都成功了。一旦初始设置完成，恢复整个过程仅需数秒，这对于任何允许多用户共享同一物理内存的未来云环境来说，都是一个实际存在的威胁。

最终，这项研究是一个警告，即计算机硬件的物理世界有着自身的规则，这些规则是软件无法逾越的。正如两个共用房间的人即使看不见对方，也能听到对方的脚步声一样，两个共享云服务器的用户也可能能够听到彼此内存访问的时序。研究人员已经证明，只要有足够的耐心和正确的工具，这些微弱的回声可以被放大成清晰的图像。随着云服务提供商不断将更多用户打包进更少的芯片中以提高效率，理解这些物理侧信道对于设计真正安全的系统至关重要。解决方案不在于建立更高的数字围墙，而在于理解其下方的物理内存行为，并确保一个用户的行为历史无法被另一个人读取。

技术摘要：通过 DDR4 行缓冲定时在云 FPGA 中跨租户边界恢复完整的 AES-128 密钥

问题陈述

云 FPGA 提供商越来越多地利用空间多租户技术来最大化硬件利用率，将多个非特权租户放置在单个设备上。虽然可编程逻辑阵列通过受信任的静态壳（static shell）实现了逻辑隔离，但片外 DDR4 存储器仍然是一个全局共享的资源。这种架构上的缺陷产生了一个侧信道漏洞，即 DRAM 行缓冲器（row buffers）的状态可能会跨越租户边界泄露信息。

本研究解决的具体挑战是从协同租户（co-tenant）受害者处恢复完整的 AES-128 主密钥。与 CPU 缓存攻击中可以通过多个缓存集并行观察 AES 轮的所有 16 个字节不同，DRAM 库（bank）具有“每库一个插槽”的结构特性。每个 DRAM 库仅维护一个打开的行缓冲器。因此，如果 AES 第一轮执行的 16 次 S 盒查找（S-box lookups）映射到同一个 bank，它们会顺序地相互覆盖。最终只有一个查找是可观测的，这使得标准的缓存定时攻击在单 bank 场景下无法实现完整的密钥恢复。

研究方法

作者提出了一种多阶段攻击方法，通过利用 bank 级并行性和逆向工程内存控制器的地址映射，绕过了“每库一插槽墙”（one-slot-per-bank wall）。

1. 每库一插槽墙

研究首先证明，在单 bank 配置下，受害者执行 16 次 S 盒查找会导致只有第 16 个字节（最后一次访问的行）是可观测的。前 15 个字节被覆盖，导致攻击者在单次加密中只能获得一个密钥字节的信号。

2. 多 Bank 密钥恢复

为了恢复全部 16 个字节，该攻击将 16 次 S 盒查找分布在 DDR4 通道的 16 个独立 bank 中。

布局： 攻击者确保字节 $b$ 的替换表驻留在特定的 DRAM bank $b$ 中。
机制： 当受害者执行 AES 轮时，它会在 16 个 bank 中同时打开唯一的行。
观测： 攻击者随后可以单独探测每个 bank。由于没有任何 bank 会覆盖另一个 bank 的行缓冲器，攻击者可以恢复所有 16 个 bank 的打开行索引，从而从单次加密中揭示所有 16 个密钥字节。

3. 逆向工程 Bank 映射

攻击的一个关键前提是确定哪些内存地址映射到哪些物理 bank，因为这种映射是特定于厂商且非线性的（通常涉及对地址位的 XOR 操作）。

校准： 攻击者使用“冲突测试”（算法 2）进行设备端校准。通过访问两个候选偏移量并测量后续读取的延迟，攻击者可以确定它们是映射到同一个 bank（导致行冲突/缺失）还是不同的 bank（导致行命中）。
结果： 作者成功逆向工程了 Xilinx Alveo U250 的地址到 bank 的映射，识别出特定的字节地址位（6–10）决定了 bank group 和 bank index。

4. 攻击场景

论文评估了两种不同的威胁模型：

自包含配置（Self-Contained Configuration）： 单个内核同时执行受害者加密和探测操作。这隔离了信道特性。
并发双租户配置（Concurrent Two-Tenant Configuration）： 一个现实的场景，其中一个独立的攻击者内核（无法访问受害者的密钥、明文或内部状态）与受害者内核并发运行。攻击者使用自由运行的周期计数器，在没有显式同步的情况下，根据自身的 DRAM 读取时间来探测受害者的活动。

5. 全轮 AES 恢复

该方法被扩展到全 10 轮的 AES-128 实现。虽然第 2 至第 10 轮会引入噪声（因为输入相对于明文变得趋于随机），但第一轮的泄露仍与明文相关。通过在多次加密中进行平均（投票法），攻击者可以将第一轮的信号从后续轮次的噪声中分离出来。

核心贡献

完整密钥恢复： 首次证明了在云 FPGA 上利用 DRAM 行缓冲器定时技术，跨租户边界恢复完整的 AES-128 主密钥。
克服一插槽墙： 识别并缓解了由于单个 DRAM bank 只能持有单一打开行而导致的结构性限制，该限制阻碍了直接移植缓存攻击。解决方案是将查找操作分布到所有 16 个 bank 中。
设备端 Bank 映射重建： 一种纯粹通过定时分析来逆向工程内存控制器地址到 bank 映射的方法，无需厂商文档或特权访问。
现实的并发攻击： 在两个租户设置下成功实现了密钥恢复，其中攻击者和受害者是独立的内核，仅共享物理内存 bank，且没有共享状态或同步原语。

结果

实验是在带有 DDR4 内存的 Xilinx Alveo U250 FPGA 上进行的。

单轮攻击： 使用 16 个选定的明文，多 bank 攻击以 1.0 的 AUC 恢复了完整的 16 字节密钥（测试了 50/50 的随机密钥）。
全十轮攻击： 针对经过验证的全 10 轮 AES-128 受害者，并发攻击者在所有 19 个测试密钥（1 个 FIPS-197 测试密钥和 18 个随机密钥）上都成功恢复了完整密钥。
数据复杂度：
- 单轮受害者：需要 16 个明文。
- 全十轮受害者：需要 64–96 个明文以抵消第 2–10 轮的噪声。
信号质量： 单个探测通道的信号较弱（单轮 ROC-AUC ≈ 0.92，并发全轮 ROC-AUC ≈ 0.82），但结合每 bank 的 arg-min 选择和跨明文投票，可以实现稳健的恢复。
执行时间： 端到端恢复在数秒内完成，主要受限于主机-内核调度延迟，而非侧信道测量本身。

重要性与主张

论文声称，当离线内存被共享时，即使程序逻辑阵列实现了隔离，也无法保护其免受物理侧信道的攻击。DRAM 行缓冲器的历史依赖行为加入了受信任计算基（TCB），无论隔离模型如何。

作者强调，这不仅仅是一个理论上的漏洞，而是在商用级硬件（Alveo U250）上已证实的实际能力。他们指出，虽然目前的商业 FPGA 实例通常是单租户的，但行业正朝着空间多租户方向发展以提高成本效率。因此，这些发现提供了预见性的证据，表明未来多租户云中的共享 DRAM bank 可能会泄露完整的加密密钥。

论文总结道，将 S-box 保存在片上（BRAM/LUT）、随机化 bank 位置或划分 bank 等防御措施是必要的，且与面临完整密钥暴露的风险相比，这些措施的成本相对较低。该工作强调，在共享 FPGA 环境中，使用 DRAM 进行查表的标准 AES 实现是脆弱的，即使在无法访问受害者内部状态的情况下也是如此。