목차
마이크로아키텍처 은닉 채널은 현대 컴퓨터 보안에서 중요한 문제입니다. 이러한 채널의 핵심은 미세한 하드웨어 동작을 이용하여 격리된 보안 경계를 넘어서 정보를 유출하는 것입니다. 이는 전통적인 운영 체제 및 애플리케이션 레벨의 방어를 무시합니다. 클라우드 컴퓨팅과 멀티 테넌트 환경이 보편화됨에 따라 자동 탐지 및 이러한 위협의 완화가 그 어느 때보다 중요해졌습니다.
AutoCC는 이러한 은닉 타이밍 채널을 자동으로 탐지하는 혁신적인 프레임워크로, 공격자와 수비자 모두가 이해와 방어를 발전시킬 수 있도록 합니다. 본 가이드에서는 AutoCC의 기술 및 연구 배경을 소개하고, 실용적인 탐지 팁을 공유하며 오늘날의 위협 환경에서 마이크로아키텍처 은닉 채널의 중요성을 설명합니다.
컴퓨터 보안에서 은닉 채널은 시스템의 보안 정책을 위반하여 정보를 전송할 수 있는 비의도적인 통신 경로입니다. 사이드 채널 (대개 의도치 않은 방사선이나 관찰을 통해 데이터를 누출)에 비해, 은닉 채널은 협력하는 에이전트 간의 정보를 은밀히 전달하는 데 사용되며, 종종 접근 통제를 우회합니다.
주요 특징:
마이크로아키텍처란 소프트웨어에는 보이지 않도록 추상화된 CPU의 하드웨어 수준 구현 세부 사항을 말합니다.
마이크로아키텍처 은닉 채널은 이러한 하드웨어 상태 전환을 악용하며:
연구 인용:
마이크로아키텍처 채널은 ISA에 보이지 않는 하드웨어 상태를 악용하여 승인되지 않은 정보 흐름을 가능하게 합니다.
하드웨어 기능(e.g., 캐시, 버퍼, 분기 예측기)과 ISA가 제공하는 추상적인 뷰의 차이가 은닉 채널의 기회를 제공합니다.
같은 하드웨어를 공유하는 프로그램은 직접적인 통신 채널 없이도 서로의 실행 시간이나 행동에 영향을 미칠 수 있습니다.
타이밍 채널은 가장 흔한 마이크로아키텍처 은닉 채널입니다. 그들은 다음과 같이 작동합니다:
주로 악용되는 리소스:
채널은 종종 두 프로세스가 제한된 하드웨어 리소스(e.g., 캐시 세트, 메모리 컨트롤러 큐)를 경쟁할 때 발생합니다.
마이크로아키텍처 은닉 채널은 제한된 하드웨어 리소스에 대한 경쟁 접근으로 인한 실행 시간 변화를 활용합니다.
이 경쟁은 은닉 정보를 인코딩할 수 있는 측정 가능한 타이밍 차이를 유발합니다.
CPU 캐시는 여러 코어와 쓰레드에 걸쳐 공유되며, 은닉 채널을 활용하기 위한 금광입니다.
시나리오:
Prime+Probe: 캐시 라인이 교체되었는지 시간을 이용해 확인합니다.
Flush+Reload: 공유 메모리에 의존하며, Prime+Probe보다 정밀합니다.
# Python의 개념적 Pseudocode: Prime+Probe 루프
import time
CACHE_SET = 0xdeadbeef # 시뮬레이션된 주소
def access_memory(addr):
# 캐시 라인에 대한 액세스를 시뮬레이트
pass
def prime():
for i in range(NUM_LINES):
access_memory(CACHE_SET + i * CACHE_LINE_SIZE)
def probe():
start = time.perf_counter_ns()
for i in range(NUM_LINES):
access_memory(CACHE_SET + i * CACHE_LINE_SIZE)
end = time.perf_counter_ns()
return end - start
# 발신자가 프라임, 대기, 수신자가 프로브하고 액세스 시간을 측정
비록 순수한 은닉 채널은 아닐지라도(종종 사이드 채널 취약성으로 분류됨), 이러한 공격은 추측적 실행 및 비순차 실행이 보안 경계를 깨고 마이크로아키텍처 상태 변화를 통해 비밀을 누출할 수 있는 마이크로아키텍처 정보 유출에 대한 새로운 관심을 불러일으켰습니다.
Spectre 스타일 공격: 추측 실행을 악용하여 공격자 제어 데이터를 마이크로아키텍처 구조에 주입하고, 피해자의 코드 실행에 영향을 미쳐 관찰 가능한 방식으로 작동합니다.
AutoCC는 시간 내 은닉 채널 자동 탐지의 약자입니다. 이는 CPU 마이크로아키텍처 자원에서 은닉 타이밍 채널을 자동으로 찾아내기 위한 체계적 접근 방식과 도구입니다.
From Marcelo et al., MICRO 2023:
AutoCC:
주요 연구 통찰력:
AutoCC는 인기 있는 CPU에서 문서화되지 않은 채널과 약점을 발견하여 자동화된 분석 및 방어의 시급한 필요성을 나타냈습니다.
AutoCC는 다양한 기술을 사용합니다:
AutoCC로 인해 공격자와 방어자 모두 다음을 얻습니다:
은닉 채널을 방지하거나 완화하는 것은 그들이 하드웨어 수준에서 시작되기 때문에 도전입니다. 하지만 몇 가지 고수준 전략은 다음과 같습니다:
운영 체제는 다음을 통해 도울 수 있습니다:
rdtsc 같은 명령어로 제한하기.하드웨어 벤더는 다음을 할 수 있습니다:
Linux는 성능 모니터링 계측기를 perf 툴을 통해 제공하며, 이는 의심스러운 마이크로아키텍처 활동이나 은닉 채널 사용을 나타낼 수 있는 성능 이상을 탐지하는 데 사용할 수 있습니다.
perf list
# PID 1234인 프로세스의 캐시 누락 및 사이클 기록
sudo perf stat -e cache-misses,cycles -p 1234
# 출력 파싱 (예: 출력 예시)
# 1,234,567 cache-misses
# 23,456,789 cycles
rdtsc 나 /dev/tsc를 사용하는 애플리케이션은 타이밍 기반 공격 코드의 힌트가 될 수 있습니다.
# /dev/tsc 또는 유사한 것을 사용하는 프로세스 나열
lsof | grep '/dev/tsc'
# rdtsc 오피코드(0f 31)을 참조하는 바이너리 찾기
grep -rl -E $'\x0f\x31' /usr/bin /usr/local/bin
# 대안: 의심스러운 프로세스에서 시간 관련 시스템 호출을 모니터링하기 위해 strace 사용
strace -e trace=clock_gettime,gettimeofday -p <pid>
import subprocess
def monitor_perf(pid, duration=10):
cmd = [
'perf', 'stat', '-e', 'cache-misses,cycles',
'-p', str(pid), 'sleep', str(duration)
]
proc = subprocess.Popen(cmd, stdout=subprocess.PIPE, stderr=subprocess.PIPE)
out, err = proc.communicate()
return out.decode(), err.decode()
# 예제 사용
out, err = monitor_perf(1234)
print("Perf Output:", out)
print("Perf Errors:", err)
깊은 자동화를 위해 perf 출력을 파싱하여 캐시 누락 비율의 의심스러운 변화를 탐지할 수 있습니다. 이는 활성 캐시 기반 은닉 채널 활동을 암시할 수 있습니다.
import re
def parse_perf_output(perf_err):
cache_misses = re.search(r'([\d,]+)\s+cache-misses', perf_err)
cycles = re.search(r'([\d,]+)\s+cycles', perf_err)
return {
'cache_misses': int(cache_misses.group(1).replace(',', '')) if cache_misses else 0,
'cycles': int(cycles.group(1).replace(',', '')) if cycles else 0,
}
metrics = parse_perf_output(err)
print(f"Cache Misses: {metrics['cache_misses']}, Cycles: {metrics['cycles']}")
은닉 채널은 다음의 위협 모델에 포함되어야 합니다:
물어볼 질문들:
레드 팀은 AutoCC 스타일의 도구를 배포하여 실행 가능한 탈취 방법을 식별하고 실제 공격을 시뮬레이트할 수 있습니다.
블루 팀과 포렌식 분석가는 성능 계측기, 운영 체제 추적 로그 및 행동 프로파일링을 사용하여 은닉 채널 활동의 징후로 의심되는 이상을 탐색할 수 있습니다.
마이크로아키텍처 은닉 채널은 오늘날 하드웨어 보안의 가장 교활한 위협 중 하나입니다. 고전적 네트워크나 애플리케이션 레이어의 취약점 수준 아래에서 그들은 현대 컴퓨팅의 건축 블록을 악용하여 격리된 사용자와 프로세스 간의 승인되지 않은 정보 흐름을 가능하게 합니다.
AutoCC와 같은 연구는 공격자가 사용하기 전에 이러한 채널을 발견하고 폐쇄하는 데 필요한 도구와 방법론을 제공함으로써 이 분야를 발전시키고 있습니다. CPU 및 방어자 모두 진화함에 따라, 우리가 새롭게 등장하는 모든 숨겨진 채널을 찾고 배우는 것만이 변하지 않는 점입니다.
모니터링, 분석 및 적극적인 위협 모델링을 보안 프로세스에 통합함으로써 조직은 이 미묘하지만 강력한 위협 벡터에 대해 앞서 나갈 수 있습니다.
AutoCC: Automatic Discovery of Covert Channels in Time
저자: Marcelo Santos 외. MICRO 2023
전체 논문 (PDF)
Prevention of Microarchitectural Covert Channels on an Open-Source 64-bit RISC-V Processor
저자: Wistoff et al.
arXiv 프리프린트
전체 텍스트 (PDF)
Linux perf 문서
https://perf.wiki.kernel.org/index.php/Main_Page
Intel® 64 및 IA-32 아키텍처 최적화 참조 매뉴얼
https://software.intel.com/content/www/us/en/develop/articles/intel-sdm.html
Spectre 및 Meltdown 공격
https://meltdownattack.com/
더 심층적인 가이드에 관심이 있으세요? 우리의 사이버 보안 인사이트 뉴스레터를 구독하세요!
이 콘텐츠가 유용하다고 생각하셨다면, 저희의 포괄적인 47주 엘리트 교육 프로그램으로 무엇을 달성할 수 있을지 상상해 보세요. Unit 8200 기술로 경력을 변화시킨 1,200명 이상의 학생들과 함께하세요.