[發(fā)明專利]基于動(dòng)態(tài)內(nèi)存重映射和緩存清除的側(cè)信道攻擊防御方法及其裝置

有效

• 申請?zhí)枺?/td>: 201710297098.5
• 申請日: 2017-04-28
• 公開（公告）號(hào): CN107169346B
• 公開（公告）日: 2019-09-06
• 發(fā)明（設(shè)計(jì)）人: 郭云飛;楊超;劉文彥;陳福才;季新生;程國振;霍樹民;張淼;丁瑞浩
• 申請（專利權(quán)）人: 中國人民解放軍信息工程大學(xué)
• 主分類號(hào): G06F21/53
• 分類號(hào): G06F21/53;G06F9/455
• 代理公司: 鄭州大通專利商標(biāo)代理有限公司 41111
• 代理人: 周艷巧

1.一種基于動(dòng)態(tài)內(nèi)存重映射和緩存清除的側(cè)信道攻擊防御方法，其特征在于，基于虛擬機(jī)監(jiān)控器和硬件多層級(jí)緩存架構(gòu)實(shí)現(xiàn)，該方法包含如下內(nèi)容：

收集虛擬機(jī)監(jiān)控器上運(yùn)行的虛擬機(jī)信息，該虛擬機(jī)信息至少包含每一個(gè)虛擬機(jī)所占用的物理頁面，以及虛擬機(jī)提交的保護(hù)內(nèi)存；同時(shí)實(shí)時(shí)監(jiān)測當(dāng)前發(fā)生的基于緩存的側(cè)信道攻擊，得到攻擊目標(biāo)信息，該攻擊目標(biāo)信息至少包含：被攻擊的目標(biāo)虛擬機(jī)、攻擊頻率和被攻擊的緩存層；

根據(jù)收集的虛擬機(jī)信息及實(shí)時(shí)監(jiān)測得到的攻擊目標(biāo)信息，選取防御操作，其中，所述的防御操作根據(jù)攻擊目標(biāo)信息中被攻擊的緩存層選取緩存清除操作或內(nèi)存動(dòng)態(tài)重映射操作；

以攻擊目標(biāo)信息中攻擊頻率執(zhí)行選取的防御操作。

2.根據(jù)權(quán)利要求1所述的基于動(dòng)態(tài)內(nèi)存重映射和緩存清除的側(cè)信道攻擊防御方法，其特征在于，根據(jù)攻擊虛擬機(jī)在攻擊目標(biāo)虛擬機(jī)時(shí)攻擊虛擬機(jī)和目標(biāo)虛擬機(jī)兩者訪問緩存的行為相似，檢測當(dāng)前可能發(fā)生的基于緩存的側(cè)信道攻擊，得到攻擊目標(biāo)信息。

3.根據(jù)權(quán)利要求1所述的基于動(dòng)態(tài)內(nèi)存重映射和緩存清除的側(cè)信道攻擊防御方法，其特征在于，硬件多層級(jí)緩存架構(gòu)包含用于緩存數(shù)據(jù)和指令的第一級(jí)緩存層，用于單核統(tǒng)一緩存的第二級(jí)緩存層，及用于統(tǒng)一共享緩存的第三級(jí)緩存層。

4.根據(jù)權(quán)利要求3所述的基于動(dòng)態(tài)內(nèi)存重映射和緩存清除的側(cè)信道攻擊防御方法，其特征在于，選取防御操作，包含如下內(nèi)容：將目標(biāo)虛擬機(jī)所占用的物理內(nèi)存頁面分為敏感頁面和普通頁面兩類，根據(jù)目標(biāo)信息中被攻擊的緩存層，若為第一級(jí)緩存層，則確定防御操作為緩存清洗操作，每一次目標(biāo)虛擬機(jī)執(zhí)行敏感操作后，隨機(jī)清洗部分或全部緩存；若為第二級(jí)緩存層或第三級(jí)緩存層，則確定防御操作為內(nèi)存動(dòng)態(tài)重映射操作，動(dòng)態(tài)隨機(jī)交換敏感頁面和普通頁面兩者之間的內(nèi)存映射關(guān)系，混淆緩存行為特征和目標(biāo)信息關(guān)聯(lián)。

5.根據(jù)權(quán)利要求4所述的基于動(dòng)態(tài)內(nèi)存重映射和緩存清除的側(cè)信道攻擊防御方法，其特征在于，緩存清洗操作，包含如下內(nèi)容：

A1)構(gòu)建緩存清洗頁面集合；

A2)依次訪問緩存清洗頁面集合中每一個(gè)內(nèi)存頁面，清洗與敏感目標(biāo)頁面對應(yīng)的緩存。

6.根據(jù)權(quán)利要求5所述的基于動(dòng)態(tài)內(nèi)存重映射和緩存清除的側(cè)信道攻擊防御方法，其特征在于，A1中構(gòu)建緩存清洗頁面集合，包含如下內(nèi)容：對于S個(gè)映射到與敏感目標(biāo)頁面相同的緩存位置的內(nèi)存頁面，隨機(jī)選擇W個(gè)內(nèi)存頁面作為該敏感目標(biāo)頁面的清洗頁面集合，其中，S≥W，W是緩存的關(guān)聯(lián)系數(shù)。

7.根據(jù)權(quán)利要求4所述的基于動(dòng)態(tài)內(nèi)存重映射和緩存清除的側(cè)信道攻擊防御方法，其特征在于，內(nèi)存動(dòng)態(tài)重映射操作，包含如下內(nèi)容：

B1)根據(jù)虛擬機(jī)信息中虛擬機(jī)所占用的物理頁面及虛擬機(jī)提交的保護(hù)內(nèi)存，定位虛擬機(jī)上存儲(chǔ)目標(biāo)信息的敏感頁面，將目標(biāo)虛擬機(jī)所占用的物理內(nèi)存頁面分為敏感頁面和普通頁面兩類，從虛擬機(jī)監(jiān)控器負(fù)責(zé)頁表中隨機(jī)選擇兩個(gè)頁表項(xiàng)；

B2)獲取所選擇頁表項(xiàng)對應(yīng)的物理內(nèi)存頁面；

B3)清除地址翻譯緩存，并禁止其他進(jìn)程對頁表項(xiàng)和對應(yīng)物理內(nèi)存頁面的訪問；

B4)交換兩個(gè)物理內(nèi)存頁面的存儲(chǔ)內(nèi)容，并交換兩個(gè)頁表項(xiàng)內(nèi)容；

B5)恢復(fù)其他進(jìn)程對頁表項(xiàng)和對應(yīng)物理內(nèi)存頁面的訪問。

8.根據(jù)權(quán)利要求7所述的基于動(dòng)態(tài)內(nèi)存重映射和緩存清除的側(cè)信道攻擊防御方法，其特征在于，B1中從虛擬機(jī)監(jiān)控器負(fù)責(zé)頁表中隨機(jī)選擇兩個(gè)頁表項(xiàng)，兩個(gè)頁表項(xiàng)中：一個(gè)為敏感頁面表項(xiàng)，另一個(gè)為普通頁面表項(xiàng)。