硬件安全讲座：侧信道攻击与防御（Spectre攻击详解）

Rutvik

总结：

本讲座深入探讨了硬件安全中的侧信道攻击及其防御方法，强调了性能与安全性之间的权衡。

• 侧信道攻击原理: 通过系统输入导致的行为差异（如功耗、电磁辐射、执行时间等）来窃取敏感信息。
• 基于时间的侧信道攻击: 攻击者通过测量程序执行时间来推断秘密数据，例如密码检查器中因字符匹配数量而导致的提前终止。
• 恒定时间代码: 一种防御策略，旨在使程序执行时间独立于秘密输入，但需要避免基于秘密值的分支和内存访问。
• 硬件漏洞: CPU为提高性能采取的优化（如缓存、乱序执行、分支预测）可能无意中创建侧信道。
• 缓存攻击 (Prime + Probe): 攻击者填充缓存，受害者使用秘密数据，导致攻击者的数据被逐出，攻击者通过探测缓存未命中时间推断受害者访问的内存位置，进而窃取秘密。
• 推测执行漏洞 (Spectre): 分支预测错误导致CPU推测性执行不应执行的代码路径，并将秘密数据加载到缓存中，即使推测被撤销，缓存状态的变化仍可被攻击者通过侧信道观察到。
• 防御措施: 包括在软件中插入内存屏障 (Lfence) 或采用推测加载硬化 (SLH) 技术，以及硬件层面的安全架构改进。

引言 [00:00]

• 硬件安全：并非如想象中那么难，也并非如想象中那么安全。
  • 引用XKCD漫画：系统只与其最薄弱的环节一样安全。
    • 支持硬件安全的观点：如果硬件不安全，其上层的一切都无法安全。
    • 反驳观点：过去的安全漏洞多基于软件，与硬件故障无关。
• “安全”的含义：
  • 许多加密算法依赖于某些数学问题的“难度”（如RSA的整数分解、Diffie-Hellman的对数计算、格密码学的最短非零向量）。
  • 一些加密算法（如AES）依赖于除了暴力猜测之外没有更好的攻击方法。
  • 实用安全机制：阻止用户执行未经授权的操作。
• 理想与现实：安全保证往往只存在于理论层面，现实世界并非理想化，总会有意想不到的漏洞。

侧信道 [03:06]

• 定义: 当攻击者因程序实现缺陷，获得理论上不应了解的信息时，就会发生侧信道攻击。
• 核心原理: 程序的行为因输入而异。
  • 示例: 一个“黑盒”系统，输入密钥和明文，输出密文。理想情况下，密文应是随机噪声，攻击者无法从中推断密钥或明文。

    

  • 现实情况: 计算过程中会泄漏额外信息（如散热），攻击者可以观察这些信息（如密文和额外泄漏），从而推断出秘密输入。
  • 卡通示例: 系统输入蓝色宝石和红色宝石会产生不同颜色的光芒，攻击者通过观察光芒颜色推断出宝石的颜色，即使看不到宝石本身。

基于时间的侧信道 [05:17]

• 核心原理: 程序执行时间会因输入的不同而变化。
  • 示例: 输入蓝色宝石，处理速度快；输入红色宝石，处理速度慢。攻击者通过计时器测量执行时间，从而推断出输入的类型。

定时攻击示例 [06:07]

• 一个糟糕的密码检查器:
  • 代码分析:
    • 获取用户输入的用户名和密码。
    • 从数据库获取真实密码。
    • 首先检查输入密码和真实密码的长度，如果长度不匹配则提前退出。
    • 然后逐字符比较密码，如果任何字符不匹配，则提前退出。
  • 漏洞所在: 提前终止意味着程序执行的工作量是匹配字符数量的函数。
  • 如何破解 (利用定时攻击):
    • 攻击者尝试不同长度的密码，观察响应时间，从而推断出正确密码的长度（例如，如果3个'A'比1个'A'花费更长时间，说明密码长度至少为3）。
    • 确定长度后，逐字符猜测密码。每次猜中一个字符，程序就会执行更久，从而泄露哪个字符是正确的（例如，'BAT'比'BAS'花费更长时间，说明第三个字符是'T'）。

      

  • 实际影响: Paul Kocher于1996年的开创性论文表明，定时攻击可以针对Diffie-Hellman、RSA、DSS等加密系统实施。2003年的另一篇论文进一步证明，远程服务器上的定时攻击也是可行的，即使攻击者无法直接访问代码，也能通过网络观察时间差来推断秘密。

恒定时间代码：原则 [10:53]

• 目标: 使程序的执行时间独立于程序的输入。
• 核心原则: 不要根据秘密值进行分支判断。
  • 如果存在一个基于秘密值的分支，导致一条快速路径和一条慢速路径，攻击者可以通过计时来判断程序走了哪条路径，从而推断出秘密。
  • 错误示例: if (secret) slow_task() else fast_task()。
  • 正确方法: 将代码编写为“直线”形式。
    • 计算所有可能的路径（例如，同时执行快速任务和慢速任务）。
    • 使用条件移动指令（而不是会编译成条件分支的C语言三元运算符）在最后选择正确的结果。
• 改进的密码检查器 (仍有缺陷):
  • 使用异或 (XOR) 运算符进行智能比较，将长度异或结果和字符异或结果累加到结果变量中。最后只检查结果是否为零。

    

  • 潜在问题: min(len(input_pwd), len(real_pwd)) 仍然会泄露密码长度信息。如果攻击者输入的密码长度短于实际密码，程序的执行时间会随着攻击者输入长度的增加而增加，直到达到实际密码长度后时间趋于平稳，这个“临界点”泄露了密码的真实长度。
  • 重要提示: 实际中不应这样检查密码，而应存储密码的哈希值，并在客户端哈希后进行比较。
• 我们完成了吗？不！ CPU是新的挑战。
  • 现实是，即使代码看起来没有侧信道漏洞，但在实际硬件上运行时，仍然会产生数据相关的观测。
  • 根本原因: 我们（消费者和CPU设计者）追求更快性能，CPU设计者会采取捷径和优化措施，这些优化措施会依赖于数据。
  • 摩尔定律的终结: 晶体管数量的增长放缓，迫使CPU采用更复杂的架构优化，这些优化带来了新的安全挑战。

硬件侧信道 [17:36]

• CPU如何破坏安全代码？
  1. 某些指令根据其输入花费不同的时间：
     • 原理: 即使程序代码是“恒定时间”的，但底层CPU的某些指令在处理特定输入时可能具有数据相关的执行时间。
     • 示例: 零跳过乘法（当一个输入为零时，乘法器会跳过实际计算，直接返回零，导致执行速度更快）。通过计时器测量乘法时间，可以推断输入是否为零。
     • 实际案例:
       • 2009年论文在嵌入式处理器上通过早期终止乘法攻击加密协议。
       • 2015年论文利用非正规浮点数运算的计时差异（非正规浮点数处理通常比正常浮点数慢）实现了“像素窃取”攻击，可以从用户无权访问的网站iframe中窃取像素数据。
     • 普遍性: 这种指令级别的攻击相对较少见。
  2. 共享资源允许攻击者窥探受害者活动：
     • 原理: CPU中的许多硬件资源是共享的（如缓存、功能单元、总线）。当受害者使用这些资源时，攻击者可以通过观察资源状态（争用、痕迹）来推断秘密信息。
     • 争用 (Contention): 当受害者使用共享资源时，攻击者无法立即使用，从而察觉到受害者正在活动。
       • SMT (同步多线程) 处理器: 多个线程共享功能单元，如果一个线程在使用乘法器，另一个线程（攻击者）尝试使用，就会发生争用，导致攻击者线程的执行变慢。
       • 示例: 2019年论文“Port Contention for Fun and Profit”通过功能单元争用攻击椭圆曲线加密算法。2021年论文“Lord of the Rings”揭示了Intel芯片上的环形总线争用侧信道。
     • 痕迹 (Footprints): 受害者使用共享资源后留下可观察的痕迹。
       • 邮箱示例: 受害者投递信件并竖起旗帜，攻击者无法看到信件内容，但能看到旗帜竖起，从而知道受害者使用了邮箱。

基于缓存的侧信道 [21:58]

• 缓存: 旨在提高CPU访问内存的速度。
  • 原理: 将常用数据存储在靠近CPU的小块高速内存中。
  • 效率: CPU访问缓存速度极快，访问主内存则非常慢（但这种情况应很少发生）。
  • 安全问题: 缓存的命中和未命中创建了“快速路径”和“慢速路径”，攻击者可以通过计时来利用这种差异。

    

• Prime + Probe 攻击 (预加载+探测):
  1. 预加载 (Prime): 攻击者首先向缓存填充自己的数据，将缓存填满。
  2. 上下文切换: 受害者程序开始执行。
  3. 受害者访问: 受害者访问其秘密数据。由于缓存已满，受害者的数据会替换掉缓存中攻击者的一部分数据。
  4. 上下文切换: 攻击者再次运行。
  5. 探测 (Probe): 攻击者尝试访问自己之前加载到缓存中的所有数据。
     • 如果攻击者的数据仍在缓存中（未被受害者逐出），访问速度将非常快。
     • 如果攻击者的数据被受害者的数据替换（被逐出），访问速度将非常慢（需要从主内存加载）。
  • 信息泄漏: 攻击者无法看到受害者缓存中的实际数据，但通过观察哪个缓存行被逐出（即哪个缓存行访问速度变慢），攻击者可以推断出受害者访问了哪个内存地址。如果该内存地址的选择依赖于秘密数据，那么攻击者就学会了秘密数据。
• 实际案例:
  • 2005年和2011年的论文展示了如何利用缓存攻击来攻击AES加密算法的实现。AES的T表（查找表）访问模式取决于密钥，通过缓存侧信道可以泄露密钥信息。

恒定时间代码：规则 [29:56]

• 防御侧信道攻击的三条戒律 (Constant-Time Code Commandments):
  1. 不得根据秘密值进行分支判断 (Thou shalt not branch on secret values)。
  2. 不得使用秘密值访问内存 (Thou shalt not access memory using secret values)。
  3. 不得将秘密值传递给数据相关的计时操作 (Thou shalt not pass secret values to data-dependent timing ops)。
• 编译器的问题: 编译器在优化代码时，可能会将看起来是恒定时间的代码转换为非恒定时间代码（例如，重新引入分支，或以数据相关的方式组合指令），从而破坏安全性。这需要工程师告诉编译器不要进行此类优化，或手动编写汇编代码。

推测执行 [32:24]

• 原理: 当CPU遇到一个分支指令（如if/else）时，它会在分支结果确定之前，通过“分支预测器”猜测哪个路径更有可能被执行，然后推测性地执行该路径上的指令，以避免等待时间。

  

• 推测与撤销 (Squash):
  • 如果分支预测正确，CPU节省了时间。
  • 如果分支预测错误，CPU会“撤销”所有推测执行的工作（清除寄存器等），使其看起来从未发生过，然后执行正确的路径。
  • 问题: 虽然寄存器被清除，但缓存状态等微架构痕迹可能不会完全清除，这些痕迹可能泄露推测执行过程中的秘密信息。
• 分支预测器的准确性: 现代分支预测器非常准确（例如，准确率高达95.2%甚至99.7%）。
• 攻击者如何利用: 攻击者可以“误导”分支预测器，强制其做出错误的预测，导致CPU推测性地执行不应执行的代码路径。

Spectre 攻击 [35:58]

• Spectre v1 (边界检查绕过):
  • 攻击目标: 针对在访问数组前进行边界检查的代码。
  • 攻击设置:
    • Spectre gadget (受害者代码): if (x < A.size) { y = A[x]; z = B[y]; }。其中A是受害者内存中的一个数组，可能包含秘密信息；B是另一个数组，用于将秘密信息编码到缓存行访问模式中。x是攻击者可控制的输入。
    • 分支预测器: 可以被攻击者训练或误导。
  • 攻击步骤:
    1. 预加载缓存: 攻击者清除缓存，然后填充自己的数据，为后续探测做准备。
    2. 输入恶意X: 攻击者提供一个超出A数组边界的x值。
    3. 误导分支预测器: 攻击者训练或误导分支预测器，使其认为if (x < A.size)条件为真，即使x实际上越界。
    4. 推测执行: CPU推测性地执行分支内部的代码。
       • y = A[x]: 由于x越界，CPU会从内存中一个不应访问的地址（可能包含秘密信息）加载数据到y。此秘密数据也会被加载到缓存中。
       • z = B[y]: 推测性地使用秘密值y作为索引来访问B数组。这将导致B数组中对应于y值的缓存行被加载到缓存中（如果不在缓存中则发生缓存未命中）。
    5. 分支解决与撤销: 实际的边界检查完成后，CPU发现预测错误，会撤销推测执行的结果（清除寄存器中的y和z）。
    6. 缓存痕迹: 尽管推测执行的操作被撤销，但由于推测性地访问了B[y]，导致对应的缓存行被加载或逐出，这个缓存状态的改变仍然保留。
    7. 探测缓存: 攻击者再次运行，探测B数组中所有可能的缓存行。通过测量访问时间，攻击者可以发现哪个缓存行被受害者推测性地访问过（访问时间较慢的表示被加载或逐出过）。
    8. 推断秘密: 由于被访问的缓存行位置与秘密值y相关，攻击者通过观察缓存行变化模式，就可以推断出秘密值y，从而泄露敏感信息。
  • 双重加载 (Double Load): 攻击成功的关键在于进行两次加载。第一次加载（访问）将秘密数据带入CPU核心，第二次加载（传输）将秘密数据通过缓存侧信道泄露出去。
  • Spectre攻击的泛滥: Spectre攻击有许多变体，通过改变推测类型或泄露通道（如端口争用、返回栈缓冲区等）来利用共享硬件资源。

    

推测执行漏洞的修复 [41:58]

• 简单的软件方法 (Lfence):

  • 策略: 如果推测执行导致安全漏洞，为什么不直接禁用它？
  • 问题: 分支预测是现代处理器性能的基石之一，禁用它会导致巨大的性能损失。
  • Lfence 指令: 在x86处理器上，可以在关键代码点插入Lfence指令，强制CPU在该点停止推测执行，等待分支结果确定后才继续。
  • 影响: Lfence可以有效防止Spectre攻击，但会引入显著的性能开销。例如，Windows 11操作系统中大量使用了Lfence指令来保护敏感区域，导致性能下降。

• 更巧妙的软件方法 (投机加载硬化SLH) [44:45]:

  • 原理: 推测加载硬化 (Speculative Load Hardening, SLH) 是一种LLVM编译器实现的技巧。它将加载值与分支谓词（条件）通过数据依赖关系绑定起来，使得CPU无法推测性地跳过该数据依赖。
  • 实现方式: 在原始代码 if (cond) { y = load(x); z = load(y); } 中，修改为： y = load(x); y_prime = cond ? y : 0; z = load(y_prime);
  • 防御效果:
    • 控制流图 (Control Flow Graph) 依然允许推测性地执行分支后的代码。
    • 然而，数据流图 (Data Flow Graph) 中，y_prime的计算依赖于cond。在cond（分支条件）的结果尚未确定之前，y_prime的值是不可用的。
    • 由于z的加载依赖于y_prime，因此即使CPU推测性地执行到load(y_prime)，它也无法实际加载数据，因为y_prime的值尚未确定。这阻止了秘密值y在推测执行期间通过load(y_prime)泄露到缓存中。
  • 优势: 比Lfence指令更精细，性能开销相对较小，但仍存在开销。

• 硬件方法:

  • 存在大量研究论文，提出了修改处理器架构以安全地进行推测执行的方法，例如确保秘密数据不会传输到泄露通道，或直接阻止推测性传输。
  • 潘多拉魔盒: 处理器设计中为了性能进行的微架构优化会不断带来新的侧信道攻击可能性。性能和安全性之间存在持续的权衡。

结论 [48:32]

• 性能与安全的权衡: 为了追求更快的处理器，我们采用了越来越多奇特的优化，这些优化带来了新的安全隐患。
• 引用本杰明·富兰克林的名言的变体：“那些为了暂时性的性能而放弃安全的人，既不配拥有安全，也不配拥有性能。”