[H/W] 스펙터 공격 취약성 확인 방법

[TopSpoiler]

스펙터 공격 논문

소스 코드

실행 파일

이 프로그램은 스펙터 공격 논문 마지막에 실린 개념 증명 코드를 그대로 컴파일한 것입니다.

수행하는 주요 동작은 다음과 같습니다.

1. 프로세서의 분기 예측기를 공격자가 의도한 분기로 투기적 실행을 수행하도록 충분히 훈련시킨다.

2. 공격자가 공격에 사용할 파라미터를 넣어 훈련된 분기 예측기에 의한 투기적 실행을 유도한다.

3. 프로세서 캐시에 저장된 실행 결과를 side-channel 공격을 사용하여 읽어온다.

궁극적으로 투기적 실행에 의한 배열 바운더리 체크 우회(CVE-2017-5753)가 가능한지 알아 보는 프로그램이기

때문에 시스템에 어떤 악영향도 끼치지 않으며 민감한 데이터를 추출하지 않습니다.

공격이 성공했을 경우 아래와 같은 결과를 보게 됩니다.

"The Magic Words are Squeamish Ossifrage."

출처 : https://spectreattack.com/

[oxidecircle]

실행파일 링크 404 뜨는데 링크가 짤린건가...?

[TopSpoiler]

수정할께요. 링크 끝에 --가 있는데 이걸 루리웹이 지워버리네요.

[TopSpoiler]

수정 완료

[라이넥]

대학에서 cpu배울때 적당히 예측으로 캐시값 참조해서 cpu속도 올린다는 개념이 좀 맘에 안들긴 했었는데 이것도 악용당할 여지가 있었구나

[가용성홍삼]

헐 쉬벌... 회사컴 걸렸네..

[CBear]

스펙터 공격은 멜트다운공격 보다 상대적으로 어려운 공격이라고 하더군요.
멜트다운 공격 논문을 읽어보니 대략적으로 이런공격인것같습니다.

1. TLB 타이밍 특성을 숙지한다.
맵핑되지 않은 메모리에 강제로 엑세스 하면 Invalid Address콜이 돌아온다.
매핑된 메모리에 강제로 엑세스 하면 Access Violation콜이 돌아온다.
그리고 매핑된 메모리에 강제로 엑세스 하면 콜이 매핑되어있지 않은 메모리에 엑세스 할때보다 빠르게 돌아온다.
2. 일부러 유저영역에서 커널영역 메모리를 호출후 프로세서의 Access Violation과 Invalid Address콜 까지의 프로세싱 시간을 측정한다.(try -> except 핸들 시간을 측정)
3. 일부러 유저영역에서 커널영역 메모리를 호출시켜(try), 다른 예외 처리(except)처리를 지연시킨다.

4. 다른 스레드를 이용하여 커널영역 테이블체크해 간다. 이때, 매핑된 메모리영역은 리턴이 빠르기때문에 이 속력으로 해당 영역이 매핑되있는(즉, OS에서 사용중인 영역)지를 판정을 내린다. 커널영역 메모리 테이블과 유저영역 메모리 테이블 을 구분하는 프로세서는 유저영역에서 커널영역으로 강제로 들어갈시에 시간이 2에서 측정한 시간보다 일반적으로 더걸릴수도 있다(즉, 2에서 측정한 시간보다 덜걸릴수도 있는데 이때는 인텔프로세서를 제외한 프로세서도 접근이 가능)

5. 인텔의 커널영역과 유저영역을 구분하지 않는 고속 메모리 접근기술(Intel TSX)를 이용하여 거의 100%의 확률로 여러번 커널영역을 예외 처리(except)에 걸릴때까지 체크해나간다.(TSX의 메모리 엑세스 속도는 일반적인 메모리 엑세스 처리의 약 10분의 1수준)

더욱 심각한건 이 커널영역 서치중에 메인스레드가 예외처리에 도달하기전에 Handle_abort를 콜하면, 예외 처리에 걸리지 않는다. (즉, 이용자가 눈치챌수도 없다.)
또한 TSX를 이용할시에 맵핑된 메모리 접근과 맵핑되지 않은 메모리 접근의 구분이 훨씬더 용이하다. TSX기술을 이용할시 매핑된 메모리와 매핑되지 않는 메모리의 접근시 시간차이가 약 15%이상 이며(일반적으론 1%내), 이 타이밍이 굉장히 안정적이라 해커들이 매핑되있는 영역인지 안된영역인지 구분하기 매우 쉬워진다.

이러기 때문에 멜트다운버그는 '인텔만'의 문제가 되는듯합니다;;

[CBear]

비유 하자면 도둑들이 집입구 부수는걸 보고 주인이 경찰에 신고하면, 인텔을 제외한 프로세서에선, 경찰이 신고받고 오는 시간보다 도둑들이 집입구 부수는게 시간이 더 오래 걸려서 경찰이 도둑들을 잡을수 있지만,
인텔 프로세서에선 프로세서가 도둑들한테 엄청나게 빠르게 입구를 뚫을수있는 툴을 준셈이네요

[요술토파즈]

맥으로도 테스트하고 싶은데 맥용은 없는건가요?

[TopSpoiler]

음..업성요. 소스코드는 플랫폼 중립적이니 맥 개발자가 계시다면 빌드할 수 있겠죠.

[KuRuCuLu]

인텔 CPU들은 전부 The Magic Words are Squeamish Ossifrage 뜨는건가요??

[CBear]

스펙터는 전 프로세서 다 해당됩니다.

[KuRuCuLu]

허미...

[oxidecircle]

인텔만 해당되는건 멜트다운 버그,
캐시를 사용하는 모든 CPU에 해당되는 버그는 스펙터 버그로,
치명적인건 멜트다운이지만, 스펙터도 나름 취약점 중 하나임요.
이건 스펙터 버그에 취약한지 여부를 알려주는 툴.

[대단한놈]

인텔은 거의 무조건 뚫립니다. AMD는 확률 0에 가깝게 안뚫린다고 하더군요.

[TopSpoiler]

페넘II, 불도저 뚫렸다는 소식입니다. http://www.hwbattle.com/bbs/board.php?bo_table=cpumbram&wr_id=97117

[대단한놈]

스펙터가 약간 확률에 의존하는 공격방식이라 뚫리긴 뚫려요.
확정적으로 뚫리냐 아니냐의 차이죠

[TopSpoiler]

그 확률이라는 게 뚫렸다가 안 뚫렸다가 하는 게 아닙니다. 일단 뚫리면 뚫린 거고, 거기서 100% 정확한 데이터를 가져올 수 있느냐 아니냐의 차이입니다. 저 테스트 프로그램에서 스코어를 산정하는 이유가 그겁니다.

[Zener_diode]

일단 저는 안뚫렸네요. 페넘2라도 조금씩 다를 수도 있을까요.

[TopSpoiler]

흠터레스팅..

[oxidecircle]

AMD 고다바리(A10-7870K) 에서 테스트 해봤는데 안 뚫림.

[TopSpoiler]

오.. 안 뚫리는 건 처음보네요.

[oxidecircle]

아마 이 코드가 인텔 CPU를 뚫은 버전이어서 그런듯요.
AMD도 난이도가 올라가긴 하겠지만 불가능한게 아니라고 했으니 패치가 나오긴 해야될듯

[oxidecircle]

....이 아니라, 현재 AMD는 APU 라인업 제외다고 다 털렸다 함;
아랫글에 라이젠도 털린거 보니 APU구조상 안털리는 듯.

[SD수영]

Intel Core i5 2500로 스펙터 공격 취약성 확인해봤는데, 샌디브릿지 계열은 사망..... ㅇㅁㅇ;;;;;;;;

[영화보는 원스]

뚫린다는건 확인했고, 예방법은 어떻게 되나요?

[TopSpoiler]

개인은 운영체제 보안 업데이트나 메인보드 펌웨어 업데이트만 잘 해 주시면 됩니다.

[영화보는 원스]

감사합니다

[리비에르P]

i5 4670도 터졌...

[글로리ㅡ.ㅢv]

i7-4770 도 뚫훍 뚫훍 이제 스펙터가 내 부랄 터트리러 오는거임?

[아마다 코코로]

라이젠 1800x인데 뚤립니다

[TopSpoiler]

정보 감사합니다.

[성난별]

OS, 백신, 칩셋드라이버 업뎃 해보셨는지요?

[올리브바람]

스펙터는 백신 쪽에서 처리해야할 고민거리가 될 것 같네요.

[누구...]

코어2 듀오 E8200인데 첫줄 중간에서 16진수만 찍고 죽네요 (Success 표시 안 됨)
메모리 접근 명령 자체가 안 먹히는 것 같기도 합니다

[아니면 말구요[웃음]]

비쉐라 사용중인데 안뚫립니다.

[Exclusive]

노턴에서 막아버리네