Prime+Abort : A Timer-Free High-Precision L3 Cache Attack using Intel TSX

Disselkoen, Craig, et al. "{Prime+ Abort}: A {Timer-Free}{High-Precision} L3 Cache Attack using Intel {TSX}." 26th USENIX Security Symposium (USENIX Security 17). 2017.

https://www.usenix.org/conference/usenixsecurity17/technical-sessions/presentation/disselkoen

Prime+Abort: A Timer-Free High-Precision L3 Cache Attack using Intel TSX | USENIX

 

2017년 USENIX SECURITY에 실린 논문이다.

 

PRIME+ABORT란?

기존에 나온 FLUSH+RELOAD, FLUSH+FLUSH, PRIME+PROBE와 같은 Cache Side-channel 공격이다.

그러나 이 공격은 이전 공격들과 다르게 'Timer-free' 하다는 장점이 있다.

Timer-free하다는 장점을 알기 위해선 공격이 어떻게 이루어지는지 알아야하기에 차근차근 들어가보겠다.

PRIME+PROBE

공격 Transaction이 진행되는 것. 즉 공격자가 공격을 진행하기 위해선 PRIME+PROBE와 같이 cache set을 미리 준비시킵니다(prime 시키다).

그 후 victim이 cache set에 접근하게 된다면, Intel의 메모리 보호기법 중 하나인 TSX로 인하여 victim의 접근이 중단됩니다(Abort가 이루어짐)

Prime후 Abort가 일어날 때까지 기다리는 공격이기 때문에 이름도 Prime+Abort이다.

 

Main Contribution

    1. Intel SGX를 이용한 Cache Side-channel Attack

이 공격의 주요한 기여점은 무엇일까? 우선 Intel SGX를 이용한 side-channel이라는 것이다.

Intel SGX는 특정한 코드나 데이터를 보호하는 기법으로 아무나 사용하지 못하도록 hardware 측면에서 보호하는 기법이다.

특정 이용자가 SGX를 사용하려고 하면 이용자의 프로세스를 중단시켜버린다.

Prime+Abort는 이러한 점을 사용하여 공격자가 지정한 Data를 Prime시켜두고 이를 SGX로 보호되게 한다. 그 후 다른 이용자(Victim)이 Abort를 시킨다면 Prime한 부분에 접근했음을 알 수 있다.

 

    2. Timer를 사용하지 않음.

다른 Cache Side-channel(Flush+reload, Prime+Probe 등)은 Timer가 필요하다. (rdtsc)

하지만 Prime+Abort는 특정한 타이머를 사용하지 않고 Prime시킨 이후에 Abort가 이루어질 때까지 기다리기만 하면 되는 공격으로 Time을 측정할 필요가 없다.

 

Detecting Memory Access

     

Prime+Probe

 

Prime+Abort

위 사진은 Event들의 Detection을 Victim access에 따라 만든 그래프이다.

위의 사진을 통해 Prime+Probe보다 3배는 더 빠른 공격임을 확인할 수 있고, 그 이유는 Timer를 사용할 필요가 없기 때문이다. 그렇기에 Timer를 사용하지 않음으로 더 빠른 공격이 될 수도 있었다.