Fuzzing RISC-V processors for speculative leaks

La creciente complejidad del software ha llevado a una mayor vulnerabilidad a ciertas amenazas de seguridad que explotan la optimización de los recursos utilizados para ejecutar (y mantener) dicho software. Fuzzing (también conocido como fuzz testing) ha surgido como un enfoque para identificar dichas vulnerabilidades relacionadas con técnicas de optimización. Las CPU modernas utilizan técnicas de optimización como el uso de “pipelines” de instrucciones, donde las instrucciones se procesan etapa por etapa y, por lo tanto, se pueden ejecutar de forma paralela. Sin embargo, la técnica no está exenta de obstáculos, ya que las etapas lentas, como los accesos a memoria a direcciones que no están presentes en la memoria caché, pueden detener momentáneamente la pipeline mientras se ejecutan (los desencadenantes de la desaceleración de una pipeline de instrucciones se denominan "dependencias"). Para hacer frente a la posible pérdida de eficiencia causada por tales eventos, los procesadores emplean lo denominado como "ejecución especulativa". La ejecución especulativa es una técnica mediante la cual un procesador ejecuta instrucciones de manera especulativa mientras se resuelve una dependencia de pipeline. Usando el ejemplo anterior de un acceso a memoria, esto implicaría que el procesador simule la ejecución de tantas instrucciones como pueda mientras se lleva a cabo dicho acceso. Cuando se ha producido el acceso a memoria, el procesador puede confirmar y aplicar los cambios realizados por las instrucciones que simuló si el acceso fue válido. Si, por ejemplo, el proceso que realiza el acceso no tiene permiso para acceder a la dirección de memoria del mismo, entonces el procesador simplemente revertirá la mayoría de los cambios hechos y procederá a manejar la excepción lanzada después de acceder a una dirección ilegal. Sin embargo, los cambios revertidos por una CPU después de abortar la ejecución especulativa no incluyen al estado de las cachés. Por lo tanto, si un agente malicioso pudiera recuperar el contenido de la memoria caché, podría ganar acceso a información que, de lo contrario, se supondría que es inaccesible al analizar las posibles vulnerabilidades de un producto software. Revizor es una herramienta desarrollada para encontrar automáticamente dichas vulnerabilidades esquivas. Originalmente se implementó para hacer fuzzing sobre programas ensamblador generados aleatoriamente de la arquitectura del conjunto de instrucciones x86, con la intención de encontrar posibles fugas microarquitectónicas que podrían explotarse cuando las fallas antes mencionadas están presentes en el código ensamblador de un programa. El proyecto detrás de este trabajo de fin de grado amplía el alcance de Revizor, permitiendo a la herramienta hacer fuzzing con programas de la arquitectura del conjunto de instrucciones RISC-V. Además, proporciona a la herramienta un script de depuración, que facilitará la expansión de la herramienta para sus futuros desarrolladores. ABSTRACT The growing complexity of software has led to an increased presence of vulnerabilities regarding security threats that exploit the optimization of the resources used to run (and maintain) such software. Fuzzing (also referred to as fuzz testing) has emerged as an approach for identifying such vulnerabilities concerning optimization techniques (among others). Modern CPUs make use of optimization techniques such as instruction pipelining, where instructions are processed stage by stage and can therefore be run in a parallel fashion. The technique however is not without holdback, since slow stages, such as memory accesses to addresses that are not present in cache, may momentarily bring the pipeline to a halt while they are being executed (the triggers of the deceleration of an instruction pipeline are called dependencies). To tackle the possible loss of efficiency caused by such events, processors employ what is called "speculative execution". Speculative execution is a technique by which a processor speculatively executes instructions while a pipeline dependency is being solved. Using the previous example of a memory access, this would mean that the processor would simulate the execution of as many instructions as it can while the memory access is taking place. When the memory access has taken place, the processor may commit the changes done by the instructions it simulated if the memory access was valid. If, for example, the process performing the memory access does not have the permission to access the address, then the processor will simply revert most changes and proceed to handle the exception thrown after accessing an illegal address. However, the changes reverted by a CPU after aborting speculative execution do not include the state of the caches. Hence, if a malicious agent were able to retrieve the contents of the cache, they would be able to retrieve information which should otherwise be assumed to be inaccessible when analysing the potential vulnerabilities of a software product. Revizor is a tool developed to automatically find such elusive vulnerabilities. It was originally implemented to fuzz randomly generated assembly programs of the x86 Instruction Set Architecture (or ISA for short), with the intention of finding potential microarchitectural leaks which could be exploited when the aforementioned bugs are present in the assembly code of a program. The work behind this bachelor’s thesis extends the scope of Revizor, allowing it to fuzz programs of the RISC-V ISA. It additionally provides the tool with a debugging script, that will make the expansion of the tool easier for its future developers