Ascend — первое аппаратное средство маскировки доступа к памяти

Уже примерно 10 лет, как хорошо известно, что даже если компьютер работает с зашифрованными данными, картина его доступа к памяти — частота, с которой данные запрашиваются и сохраняются по разным адресам — может стать источником утечки шокирующее большого объема частной информации.

На Международном симпозиуме по компьютерной архитектуре, прошедшем в июне, исследователи MIT рассказали о новом типе аппаратной компоненты системы безопасности под названием Ascend. Это устройство маскирует рисунок доступа сервера к памяти, делая невозможным для злоумышленника выяснить этим способом, что-то полезное для себя.

Похожие решения уже предлагались прежде, но они требовали отвлечения значительных компьютерных ресурсов. Особенность Ascend в том, что это первая аппаратная реализация данной концепции безопасности, что позволяет сократить вычислительную нагрузку на защищаемую систему в 20-30 раз.

Тривиальный, но слишком громоздкий, путь маскировки доступа к памяти состоит в считывании данных из всех адресов с отбрасыванием ненужной информации. Вместо этого, сотрудники MIT обратились к структуре данных, известной как дерево. Ascend произвольно назначает адреса всем узлам древовидной структуры. Запрос процессора к какому-то конкретному узлу складывается из цепочки обращений ко всем узлам, лежащим на пути от вершины дерева к искомому. Таким образом, объем расчетов для маскировки, в сравнении с тривиальным методом, сокращается экспоненциально при сохранении сопоставимого уровня защиты.

Каждый раз после обращения к определенной ячейке памяти, Ascend произвольно меняет адрес, определяющий ее местонахождение на дереве. В итоге, повторный запрос проходит совсем по другому пути.

Кроме того, Ascend защищает от, так называемых, тайминговых атак: попытках получить информацию путем анализа времени, затраченного на вычисления. Чтобы воспрепятствовать этому, запросы к памяти отсылаются через регулярные интервалы, даже если процессор в это время занят и не требует новых данных.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365