Rowhammer とハードウェアフォルト注入攻撃

ソフトを一切壊さずにメモリが書き換わる

Rowhammer（2014年に Kim らの論文で報告され、2015年に Google Project Zero が実用攻撃を示した）は、読み出しアクセスだけで、自分が触れていない別のメモリ領域を物理的に書き換えられるという直感に反する脆弱性です。バグのあるコードを踏むのではなく、DRAM という記憶素子そのものの電気的な性質を突きます。攻撃者は権限のないメモリだけを正規に読み書きしながら、その副作用として隣接する特権データのビットを反転させ、最終的に制御を奪います。

原因は DRAM の高密度化です。DRAM の 1 ビットは「コンデンサに電荷があるか否か」で表され、セルは行（ロウ）と列の格子に並びます。プロセス微細化でセル間隔が縮むと、ある行を活性化（アクティベート）するたびに、隣接行のセルからわずかに電荷が漏れる。通常はリフレッシュ（既定で 64ms ごとに全行を読み直して書き戻す）が漏れを補いますが、1 回のリフレッシュ周期の間に同じ行を数万回叩くと、漏れがリフレッシュの補充を上回り、隣接行のビットが 1 から 0（あるいは逆）へ反転します。

ビット反転を狙撃するには：行を確実に叩く工夫

DRAM コントローラとキャッシュは攻撃の邪魔をします。第一に、同じアドレスを連続で読むと CPU キャッシュがヒットして DRAM まで到達しません。そこで clflush でキャッシュラインを明示的に追い出すか、キャッシュを溢れさせるキャッシュエビクションで、毎回 DRAM 本体へアクセスを飛ばします。第二に、行を「叩く」には行バッファを毎回入れ替える必要があるため、同一バンク内の異なる行を交互にアクセスして毎回 row activate を強制します。

ダブルサイド Rowhammer の中核ループ（擬似コード）:
  loop:
      read(aggressor_up)     // victim の 1 つ上の行
      read(aggressor_down)   // victim の 1 つ下の行
      clflush(aggressor_up)  // キャッシュから追い出し、次回も DRAM を叩く
      clflush(aggressor_down)
  // これを 1 リフレッシュ周期内に数万回反復し、
  // 間の victim 行のビット反転を誘発する

難所は、論理アドレスと物理的な「バンク・行」の対応が公開されていない点です。攻撃者は DRAM アドレッシング関数をリバースエンジニアリングするか、アクセス時間の差（同バンク別行はバンク競合で遅い）を観測して、物理的に隣接する行のペアを特定します。Linux の透過的ヒュージページや /proc/self/pagemap は連続物理メモリの確保と物理アドレス推定を助けたため、攻撃を実用化させた重要な足がかりでした。

権限昇格へ：反転したビットで何を壊すか

単にどこかのビットが反転しても害は限定的です。攻撃の真価は、反転を狙った場所で起こさせるメモリ整形（memory massaging）にあります。古典的な手口がページテーブルエントリ（PTE）攻撃です。

攻撃者はまず大量のメモリを確保してプロセスのページテーブルを敵の制御下のメモリ領域に大量配置させ、自分のページが指す物理フレーム番号を含む PTE が victim 行に載るよう仕向けます。そこで Rowhammer を打ち、PTE の物理フレーム番号や権限ビットのビットを反転させる。すると、自分のあるページの仮想アドレスが別の物理フレーム――しばしば自分自身のページテーブルそのもの――を指すようになります。ページテーブルへの書き込み権を得た攻撃者は、以後あらゆる物理ページを任意にマップでき、カーネルメモリの読み書きと完全な権限昇格に至ります。

ECC と TRR はなぜ守りきれないのか

DRAM 防御の二本柱が ECC と TRR ですが、いずれも限界があります。

ECC（誤り訂正符号）。 サーバ向け DRAM は通常 SECDED（単一ビット訂正・二重ビット検出）を備え、64 ビットに 8 ビットの冗長を付けます。単一ビット反転なら透過的に訂正し、二重ビットなら検出してマシンを停止できます。しかし三つ以上のビットが同じ語内で反転すると、訂正も検出も外れ、誤訂正で別の正常ビットを壊すことすらあります。ECCploit は、ECC の訂正・検出挙動をタイミングから観測して内部符号を推定し、訂正されない多ビット反転パターンを探索できることを示しました。ECC は反転確率を大きく下げますが、根絶はしません。

TRR（Target Row Refresh）。 メモリ側が、頻繁にアクセスされる aggressor 行を検知し、その隣接行を周期外に追加リフレッシュして電荷を補う緩和です。ベンダ独自・非公開で、追跡できる aggressor 数に上限があります。TRRespass は、TRR が追える数を超える多数の aggressor を同時に叩いて追跡テーブルを飽和させ、保護の隙間で victim を反転させました。さらに Half-Double は、aggressor の「隣の隣」にあたる遠い行まで影響が及ぶ現象を使い、TRR の追加リフレッシュ自体を新たな aggressor として悪用します。

電圧・クロックグリッチによるフォルト注入

Rowhammer がメモリの記憶を狂わせるのに対し、**フォルト注入（fault injection）**は CPU や制御フローそのものに瞬間的な異常を与えて誤動作させる、より広いハードウェア攻撃の系です。物理アクセスできる組み込み機器やスマートカード、TPM などが主な標的になります。

代表がグリッチ攻撃です。電圧グリッチは、CPU の電源電圧を狙ったタイミングで一瞬だけ規定外に落とす（または上げる）。これでフリップフロップのセットアップ時間が間に合わず、ある命令のフェッチやレジスタ書き込みがスキップ・破損します。クロックグリッチは、クロックに極端に短いパルスを注入し、命令が完了する前に次へ進ませて同様の効果を出します。より精密なレーザフォルト注入は、チップを開封して特定のトランジスタに光を当て、狙った 1 ビットだけを反転させます。

これらの典型的な悪用が二つあります。第一にチェックのスキップです。if (pin_ok) や Secure Boot の署名検証直後の分岐をグリッチで飛ばし、認証やセキュアブートを素通りさせます。第二が**差分故障解析（DFA）**です。RSA や AES の演算の途中に故障を 1 つ注入し、正しい暗号文と故障した暗号文の差分を解析すると、わずかな試行で秘密鍵を復元できます。例えば CRT を用いた RSA 署名で片方のモジュラ計算だけを故障させると、正しい署名との差から gcd 計算一発で素因数 p が漏れます。

防御の現実：確率を下げ、多重化する

Rowhammer もフォルト注入も物理現象を根絶できない点が共通の難しさです。防御は単一の銀の弾丸ではなく、攻撃成立の確率と費用を実用上耐えられない水準まで押し上げる多層化になります。

Rowhammer 側は、リフレッシュ間隔の短縮（tREFI を半減する BIOS 設定）、ECC、TRR、PARA、DDR5 のオンダイ ECC とリフレッシュ管理（RFM）を重ねます。OS 側では物理的に連続したメモリの確保を攻撃者に渡さない（pagemap の権限制限、ヒュージページの制御）、機微なデータ（ページテーブル等）を物理的に隔離する、clflush や高分解能タイマーへのアクセスを制限する、といった緩和が併用されます。それでも完全ではなく、新変種（Blacksmith、ZenHammer など）が緩和を順次破ってきた歴史があるため、脆弱性は残存リスクとして管理するのが現実的な姿勢です。

フォルト注入側は、署名検証や PIN 照合のような重要分岐を二重に評価して結果を突き合わせる冗長化、演算結果を別経路で再計算して照合する（DFA 耐性のための署名後検証）、電圧・クロック・温度・光の異常を検知して即座にリセット・鍵消去するセンサ、配線のシールドや配置難読化が定石です。要は、1 回の物理的故障では破れないようチェックを冗長化し、異常を検知する設計に尽きます。