作者：Paul Kocher1 , Daniel Genkin2 , Daniel Gruss3 , Werner Haas4 , Mike Hamburg5 , Moritz Lipp3 , Stefan Mangard 3 , Thomas Prescher 4 , Michael Schwarz 3 , Yuval Yarom 6
单位：1 Independent, 2 University of Pennsylvania and University of Maryland, 3 Graz University of Technology,4 Cyberus Technology,5 Rambus, Cryptography Research Division,6 University of Adelaide and Data61
出处：S&P 19
链接：https://spectreattack.com/spectre.pdf
1.introduction
在当前，现代计算机在执行条件跳转指令时使用跳转预测和推测执行来提高执行速度。具体来说，在执行条件跳转指令时，cpu在无法迅速确认下一条需要执行的指令时，会尝试预测并继续执行，执行结果会被丢弃或者确认。但是预测逻辑并不可靠，在执行预测的指令时，cpu会对程序产生可见的side effect。这种方式造成的信息泄漏可以诱发一种幽灵攻击（specture attack)。
幽灵攻击吸引受害者程序在正常执行过程中预测执行部分代码，将受害者程序中的机密信息通过侧信道传输给攻击者。这种攻击可以被用来攻破程序隔离，jit编译，容器机制。
###example
####conditional branch
具体来说，对于如下代码，如果array1_size处于uncached状态，并且攻击者能够控制x，并且希望获取array1[x]中的机密信息。
if (x < array1_size)
y = array2[array1[x] * 256];
在cpu执行条件判断时，由于array1_size不在cache中，cpu需要从memory中读取array1_size才能判断跳转是否成立。为了提高执行性能，cpu在经过攻击者的多次‘训练’后,认为会条件判断成立，执行赋值语句能够提高性能。cpu会保存当前寄存器状态进入checkpoint，并预测执行y = array2[array1[x] * 256],将array2[array1[x]*256]读入cache。
虽然过后寄存器状态被恢复到checkpoint，但cache状态已经发生了变化，攻击者可以通过flush&reload方法判断array1[x]的值，造成信息leak。
#### indirect branch
同样的攻击也能够通过间接跳转实现。攻击者通过‘训练’Branch Target Buffer (BTB)多次跳转到gadget的虚拟地址，令victim程序在执行时，cpu预测执行gadget代码。如果gadget被精心选择，攻击能够读取victim程序中的全部内存。
