비 캐시 하드웨어 이벤트를 이용한 캐시 부채널 공격 실시간 탐지
Real-Time Detection of Cache Side-Channel Attacks Using Non-Cache Hardware Events
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
캐시 부채널 공격은 CPU의 공유 캐시 자원을 이용하여 시스템에서 민감한 정보를 획득해내는 공격 유형이다. 최근모바일 시스템에서 클라우드까지 다양한 환경에 공격이 가해짐에 따라 많은 탐지 전략이 제안되었다. 기존의 캐시 부채널공격들은 많은 수의 캐시 이벤트를 발생시키는 특징을 가지고 있었기 때문에 기존의 탐지 기법은 대부분 캐시 이벤트를주의 깊게 모니터링하는 것에 기반하여 설계되었다. 그러나 최근에 제안된 공격은 공격 중에 캐시 이벤트를 적게 유발하는경향이 있다. 예를 들어 PRIME+ABORT 공격은 캐시에 접근하여 액세스 시간을 측정하는 대신 Intel TSX를 활용한다. 이러한 특징으로 인해 캐시 이벤트 기반 탐지 기법은 해당 공격을 탐지하기 어렵다. 본 논문에서는 PRIME+ABORT공격에 대한 심층 분석을 수행하여 캐시 이벤트 이외에 공격 탐지에 활용 가능한 유용한 하드웨어 이벤트를 밝힌다. 이를기반으로, PRIME+ABORT 공격 탐지 기법인 PRIME+ABORT Detector를 제시하고, 실험을 통해 제안한 탐지기법이 0.3%의 성능 오버헤드로 99.5%의 탐지 성공률을 달성할 수 있음을 보인다.
Abstract
Cache side-channel attack is a class of attacks to retrieve sensitive information from a system by exploiting shared cache resources in CPUs. As the attacks are delivered to wide range of environments from mobile systems to cloud systems recently, many detection strategies have been proposed. Since the conventional cache side-channel attacks are likely to incur tremendous number of cache events, most of the previous detection mechanisms were designed to carefully monitor mostly cache events. However, recently proposed attacks tend to incur less cache events during the attack. PRIME+ABORT attack,for example, leverages the Intel TSX instead of accessing cache to measure access time. Because of the characteristic, attack detection mechanisms based on cache events may hardly detect the attack. In this paper, we conduct an in-depth analysis of the PRIME+ABORT attack to identify the other useful hardware events for detection rather than cache events. Based on our finding, we present a novel mechanism called PRIME+ABORT Detector to detect the PRIME+ABORT attack and demonstrate that the detection mechanism can achieve 99.5% success rates with 0.3% performance overhead.
참고문헌 (9)
- F. Liu, "Last-level cache side-channel attacks are practical", Proceedings of the 2015 IEEE Symposium on Security and Privacy, pp.605~622 (2015)
- Y. Yarom, "Flush+reload: a high resolution, low noise, l3cache side-channel attack", Proceedings of the 23rd USENIX Security Symposium (USENIX Security 14), pp.719~732 (2014)
- D. Gruss, "Flush+flush: a fast and stealthy cache attack", Proceedings of the International Conference on Detection of Intrusions and Malware, and Vulnerability Assessment, pp.279~299 (2016)
- C. Disselkoen, "Prime+abort:A timer-free high-precision l3 cache attack using intel tsx", Proceedings of the 26th USENIX Security Symposium (USENIX Security 17), pp.51~67 (2017)
- G. Irazoqui, "Wait a minute! a fast, cross-vm attack on aes", International Workshop on Recent Advances in Intrusion Detection, pp.299~319 (2014)
- D. Wang, "Unveiling your keystrokes: A cachebased side-channel attack on graphics libraries", Proceedings of the The Network and Distributed System Security Symposium 2019 (NDSS, 2019) (2019)
- Y. Zhang, "Cross-tenant sidechannel attacks in paas clouds", Proceedings of the 2014 ACM SIGSAC Conference on Computer and Communications Security, pp.990~1003 (2014)
- Intel, "Intel 64 and IA-32 Architectures Performance Monitoring Events", ~ (2017)
- Intel, "Intel 64 and IA-32 Architectures Software Developer’s Manual Volume 3B: System Programming Guide, Part 2", ~ (2016)