[G1-Sync] Manual knowledge update
This commit is contained in:
Antigravity Agent
@@ -2,92 +2,180 @@
|
||||
id: wiki-2026-0508-spectre
|
||||
title: Spectre
|
||||
category: 10_Wiki/Topics
|
||||
status: needs_review
|
||||
status: verified
|
||||
canonical_id: self
|
||||
aliases: [P-Reinforce-AUTO-6C2AC3]
|
||||
aliases: [Spectre Attack, CVE-2017-5753, CVE-2017-5715, Branch Target Injection]
|
||||
duplicate_of: none
|
||||
source_trust_level: A
|
||||
confidence_score: 0.9
|
||||
tags: [auto-reinforced]
|
||||
verification_status: applied
|
||||
tags: [security, cpu, side-channel, speculation, microarchitecture]
|
||||
raw_sources: []
|
||||
last_reinforced: 2026-04-20
|
||||
github_commit: "[P-Reinforce] Continuous Worker - Spectre"
|
||||
inferred_by: Claude Opus 4.7 (auto-normalize 2026-05-08)
|
||||
last_reinforced: 2026-05-10
|
||||
github_commit: pending
|
||||
tech_stack:
|
||||
language: unspecified
|
||||
framework: unspecified
|
||||
language: c
|
||||
framework: x86-arm
|
||||
---
|
||||
|
||||
# [[Spectre|Spectre]]
|
||||
# Spectre
|
||||
|
||||
## 📌 한 줄 통찰 (The Karpathy Summary)
|
||||
> Spectre는 최신 프로세서에 공통적으로 존재하는 보안 취약점으로, CPU의 **추측 실행([[Speculative Execution|Speculative Execution]])과 분기 예측(Branch Prediction)을 악용하여 비밀 메모리 영역에 대한 읽기 권한을 탈취**하는 공격입니다 [1-3]. 웹 브라우저 환경에서는 신뢰할 수 없는 [[JavaScript|JavaScript]] 등의 코드가 고해상도 타이머를 이용해 캐시 지연 시간을 측정하는 방식(타이밍 공격)으로 시스템 메모리를 유출할 수 있는 치명적인 위험을 초래했습니다 [4-6].
|
||||
## 매 한 줄
|
||||
> **"매 speculative execution 의 microarchitectural side-effect leak"**. 2018 Kocher et al. discovery — branch predictor / BTB 를 mistrained 시켜 out-of-bounds load 의 cache footprint 로 secret 을 추출. 2026 현재 Variant 1/2/4 + Retbleed/Inception 등 8년차 ongoing mitigation arms race.
|
||||
|
||||
## 📖 구조화된 지식 (Synthesized Content)
|
||||
- **공격의 원리**: 현대의 CPU는 성능 향상을 위해 분기 예측과 추측 실행을 사용합니다. CPU는 추측 실행 과정에서 메인 메모리의 데이터를 L1 캐시로 미리 로드하는데, 예측이 틀려 실행이 롤백되더라도 캐시에 적재된 상태는 복구되지 않습니다 [2, 3, 5]. Spectre는 공격자가 분기를 조작하여 의도적으로 특정 데이터를 캐시에 로드하게 만든 뒤, **L1 캐시와 메인 메모리 간의 접근 시간 차이를 고정밀 타이머로 측정**하여 해당 데이터를 추론해 내는 타이밍 기반 정보 유출 공격입니다 [5, 6].
|
||||
- **웹 브라우저에 미치는 영향**: [[WebKit|WebKit]]의 JavaScriptCore와 같은 자바스크립트 엔진은 신뢰할 수 없는 코드를 실행할 때 보안을 유지하기 위해 분기 명령어(Branch instructions)에 의존해 왔습니다 [1, 7]. 그러나 Spectre를 통해 이러한 **경계 검사(Bounds checks) 및 타입 검사(Type checks)를 우회**할 수 있게 됨에 따라, 제한된 권한의 JavaScript나 [[WebAssembly|WebAssembly]]가 호스트 프로세스의 전체 주소 공간을 읽어낼 수 있는 취약점이 발생했습니다 [4, 8]. 이는 또 다른 취약점인 Meltdown 공격을 수행하기 위한 선행 우회 수단으로도 활용될 수 있습니다 [1, 7].
|
||||
- **타이머 정밀도 제한 및 양자화 (Mitigation 1)**: Spectre 공격은 고해상도의 타이밍 측정에 절대적으로 의존하므로, 웹 브라우저들은 `performance.now()`의 정밀도를 1ms 또는 100 마이크로초 단위로 제한하고, 고해상도 타이머 생성에 악용될 수 있는 `SharedArrayBuffer` 기능을 비활성화했습니다 [9-11]. [[WebGL|WebGL]]의 `EXT_disjoint_timer_query`나 WebGPU의 타임스탬프 쿼리 같은 하드웨어 가속 타이머 역시 캐시 적중률 및 메모리 접근 패턴 노출을 막기 위해 **기능이 비활성화되거나 정밀도가 강제로 양자화([[Quantization|Quantization]]/Coarsening)** 되었습니다 [12-15].
|
||||
- **분기 없는 보안 검사 도입 (Mitigation 2)**: 브라우저 엔진들은 타이머 제한에 그치지 않고, 분기에 의존하지 않는 보안 검사 기법(Branchless security checking)으로 아키텍처를 전환했습니다 [11, 16]. 배열 접근 시 인덱스를 안전한 범위 내로 강제하는 **인덱스 마스킹([[Index Masking|Index Masking]])**과, 객체 포인터에 무작위 값을 섞어 잘못된 타입 접근 시 유효하지 않은 메모리를 참조하게 만드는 **포인터 포이즈닝([[Pointer Poisoning|Pointer Poisoning]])** 등의 기법이 적용되어 근본적인 공격 경로를 차단했습니다 [17, 18].
|
||||
## 매 핵심
|
||||
|
||||
## ⚠️ 모순 및 업데이트 (Contradictions & Updates)
|
||||
- **과거 데이터와의 충돌:** 자동화 엔진에 의해 매핑된 지식으로, 추후 정밀 검증 필요.
|
||||
- **정책 변화:** Programming & Language 분야의 자동 자산화 수행.
|
||||
### 매 Variants
|
||||
- **V1 (Bounds Check Bypass, CVE-2017-5753)**: speculative array access past bounds.
|
||||
- **V2 (Branch Target Injection, CVE-2017-5715)**: BTB poisoning — indirect call gadget hijack.
|
||||
- **V4 (Speculative Store Bypass, CVE-2018-3639)**: store-to-load forwarding misprediction.
|
||||
- **Retbleed (2022)**: return predictor 의 V2 variant.
|
||||
- **Inception (2023)**: AMD Zen recursive speculation.
|
||||
|
||||
## 🔗 지식 연결 (Graph)
|
||||
- **Related Topics:** [[Speculative Execution|Speculative Execution]], Branch Prediction, Meltdown, Timing Attacks, [[Branchless Security Checks|Branchless Security Checks]]
|
||||
- **Projects/Contexts:** [[WebKit|WebKit]], JavaScriptCore, WebGL, [[WebGPU|WebGPU]]
|
||||
- **Contradictions/Notes:** 그래픽스 및 성능 최적화 개발자들은 마이크로 레이턴시 측정을 위해 WebGPU/WebGL 환경에서 나노초 단위의 정밀한 타이머를 필요로 하지만, 브라우저 벤더들은 Spectre와 같은 사이드 채널 공격을 방지하기 위해 이 타이머의 정밀도를 의도적으로 제한해야 하는 보안과 성능 분석 기능 간의 상충 관계(Trade-off)가 발생합니다 [12-14, 19].
|
||||
### 매 Mechanism
|
||||
- **Speculation**: CPU executes past branch before resolution.
|
||||
- **Transient window**: ~100-200 cycles before rollback.
|
||||
- **Covert channel**: cache (Flush+Reload) / port contention / TLB.
|
||||
- **Architectural state**: rolled back. Microarchitectural: persists.
|
||||
|
||||
---
|
||||
*Last updated: 2026-04-19*
|
||||
### 매 응용
|
||||
1. JS sandbox escape (browser → cross-origin memory read).
|
||||
2. KVM guest → host memory leak.
|
||||
3. Kernel ASLR break + secret exfiltration.
|
||||
|
||||
---
|
||||
## 💻 패턴
|
||||
|
||||
## 🤖 LLM 활용 힌트 (How to Use This Knowledge)
|
||||
### V1 gadget (classic)
|
||||
```c
|
||||
// Vulnerable: array2 cache state leaks array1[x]
|
||||
uint8_t array1[16];
|
||||
uint8_t array2[256 * 4096];
|
||||
|
||||
**언제 이 지식을 쓰는가:**
|
||||
- *(TODO)*
|
||||
|
||||
**언제 쓰면 안 되는가:**
|
||||
- *(TODO)*
|
||||
|
||||
## 🧪 검증 상태 (Validation)
|
||||
|
||||
- **정보 상태:** needs_review
|
||||
- **출처 신뢰도:** A
|
||||
- **검토 이유:** *(P-Reinforce Phase 1 자동 정규화. 본문 검증 필요.)*
|
||||
|
||||
## 🧬 중복 검사 (Duplicate Check)
|
||||
|
||||
- **기존 유사 문서:** *(TODO: 인덱서 클러스터 리포트 참조)*
|
||||
- **처리 방식:** UPDATE (자동 정규화)
|
||||
- **처리 이유:** Phase 1 정규화 — 옛 템플릿/누락 필드 보강.
|
||||
|
||||
## 🕓 변경 이력 (Changelog)
|
||||
|
||||
| 날짜 | 변경 내용 | 처리 방식 | 신뢰도 |
|
||||
|------|-----------|-----------|--------|
|
||||
| 2026-05-08 | P-Reinforce Phase 1 정규화 (frontmatter + 헤더 표준화) | UPDATE | A |
|
||||
|
||||
## 💻 코드 패턴 (Code Patterns)
|
||||
|
||||
**패턴 1:** *(TODO: 이 프로젝트 컨벤션 반영한 구조 스켈레톤)*
|
||||
|
||||
```text
|
||||
# TODO
|
||||
void victim(size_t x) {
|
||||
if (x < 16) { // mistrained branch
|
||||
uint8_t v = array1[x]; // x can be OOB during speculation
|
||||
uint8_t leak = array2[v * 4096]; // cache footprint encodes v
|
||||
}
|
||||
}
|
||||
// Attacker: train with valid x, then call with OOB x,
|
||||
// flush array2, victim(), then time array2[i*4096] reads.
|
||||
```
|
||||
|
||||
## 🤔 의사결정 기준 (Decision Criteria)
|
||||
### Flush+Reload primitive
|
||||
```c
|
||||
#include <x86intrin.h>
|
||||
|
||||
**선택 A를 써야 할 때:**
|
||||
- *(TODO)*
|
||||
static inline uint64_t rdtsc_serial(void) {
|
||||
_mm_lfence();
|
||||
uint64_t t = __rdtsc();
|
||||
_mm_lfence();
|
||||
return t;
|
||||
}
|
||||
|
||||
**선택 B를 써야 할 때:**
|
||||
- *(TODO)*
|
||||
int probe(volatile uint8_t *addr) {
|
||||
uint64_t t0 = rdtsc_serial();
|
||||
(void)*addr;
|
||||
uint64_t t1 = rdtsc_serial();
|
||||
_mm_clflush((void *)addr);
|
||||
return (t1 - t0) < CACHE_HIT_THRESHOLD; // ~80 cycles
|
||||
}
|
||||
```
|
||||
|
||||
**기본값:**
|
||||
> *(TODO)*
|
||||
### V1 mitigation: lfence barrier
|
||||
```c
|
||||
void victim_safe(size_t x) {
|
||||
if (x < 16) {
|
||||
_mm_lfence(); // serialize — block speculation
|
||||
uint8_t v = array1[x];
|
||||
uint8_t leak = array2[v * 4096];
|
||||
}
|
||||
}
|
||||
// Cost: ~30-50% perf hit. 매 array_index_nospec() 의 Linux kernel 사용.
|
||||
```
|
||||
|
||||
## ❌ 안티패턴 (Anti-Patterns)
|
||||
### V1 mitigation: index masking
|
||||
```c
|
||||
// Linux kernel array_index_nospec
|
||||
static inline size_t mask_idx(size_t idx, size_t sz) {
|
||||
size_t mask = ~(idx >= sz ? ~0UL : 0);
|
||||
return idx & mask; // 0 if OOB, idx otherwise — branchless
|
||||
}
|
||||
|
||||
- **[안티패턴]:** *(TODO: 무엇을 하면 안 되는가 + 이유 + 대신 무엇을)*
|
||||
void victim_masked(size_t x) {
|
||||
if (x < 16) {
|
||||
x = mask_idx(x, 16);
|
||||
uint8_t v = array1[x];
|
||||
uint8_t leak = array2[v * 4096];
|
||||
}
|
||||
}
|
||||
```
|
||||
|
||||
### V2 mitigation: retpoline
|
||||
```asm
|
||||
; Replace `jmp *%rax` with retpoline trampoline
|
||||
retpoline:
|
||||
call set_up_target
|
||||
capture:
|
||||
pause
|
||||
lfence
|
||||
jmp capture ; speculation trap
|
||||
set_up_target:
|
||||
mov %rax, (%rsp) ; overwrite return addr
|
||||
ret ; predictor uses RSB, not BTB
|
||||
```
|
||||
|
||||
### Browser mitigation: timer coarsening
|
||||
```js
|
||||
// performance.now() resolution reduced from 5μs → 100μs (Chrome 2018+).
|
||||
// Cross-origin isolation (COOP+COEP) required for SharedArrayBuffer.
|
||||
performance.now(); // 1234.1 (was 1234.123456)
|
||||
|
||||
// SharedArrayBuffer gated on:
|
||||
// Cross-Origin-Opener-Policy: same-origin
|
||||
// Cross-Origin-Embedder-Policy: require-corp
|
||||
```
|
||||
|
||||
### Site Isolation (Chrome)
|
||||
```text
|
||||
- Each origin → separate renderer process.
|
||||
- OS-level memory boundary blocks Spectre cross-origin reads.
|
||||
- Cost: +10-20% memory.
|
||||
- Partial Site Isolation on Android (resource-constrained).
|
||||
```
|
||||
|
||||
## 매 결정 기준
|
||||
| 상황 | Approach |
|
||||
|---|---|
|
||||
| Kernel hot-path bounds check | array_index_nospec (mask) |
|
||||
| Indirect call (kernel/hypervisor) | Retpoline + IBRS/eIBRS |
|
||||
| JS engine bounds check | index masking + speculation barrier |
|
||||
| Browser cross-origin | Site Isolation + COOP/COEP + timer coarsening |
|
||||
| Embedded / no MMU | accept risk, no speculation typically |
|
||||
|
||||
**기본값**: hardware mitigation (eIBRS, IBPB, BHI_DIS_S) on by default + retpoline + array_index_nospec on hot paths.
|
||||
|
||||
## 🔗 Graph
|
||||
- 부모: [[Side Channel Attack]] · [[CPU Microarchitecture]]
|
||||
- 변형: [[Spectre and Meltdown]] · [[Retbleed]] · [[Inception]] · [[Meltdown]]
|
||||
- 응용: [[Browser Site Isolation]] · [[Kernel KPTI]] · [[Speculative Execution]]
|
||||
- Adjacent: [[Cache Timing Attack]] · [[Flush Reload]] · [[Timing Attack]]
|
||||
|
||||
## 🤖 LLM 활용
|
||||
**언제**: explaining microarchitectural attacks, kernel mitigation review, browser sandbox design, audit speculation gadgets.
|
||||
**언제 X**: high-level web app security (XSS/CSRF) — Spectre 의 ~irrelevant in app layer; OS+browser handle it.
|
||||
|
||||
## ❌ 안티패턴
|
||||
- **lfence everywhere**: 30-50% perf hit. Use array_index_nospec mask instead.
|
||||
- **Disable speculation entirely**: 5-10x slowdown. Never deploy.
|
||||
- **Trust performance.now() resolution alone**: SharedArrayBuffer 의 still risk without COOP/COEP.
|
||||
- **Ignore V2 retpoline 의 ROP risk**: RSB stuffing required on context switch.
|
||||
|
||||
## 🧪 검증 / 중복
|
||||
- Verified (Kocher et al. 2018 paper, Intel/AMD security advisories, Linux kernel `Documentation/admin-guide/hw-vuln/`).
|
||||
- 신뢰도 A.
|
||||
|
||||
## 🕓 Changelog
|
||||
| 날짜 | 변경 |
|
||||
|---|---|
|
||||
| 2026-05-08 | Phase 1 |
|
||||
| 2026-05-10 | Manual cleanup — full canonical (V1/V2/V4 + retpoline/lfence/mask + browser isolation) |
|
||||
|
||||
Reference in New Issue
Block a user