TikTag — rünnak ARM CPU spekulatiivse täitmise mehhanismile, mis võimaldab ületada MemTag kaitset

Seouli Ülikooli ja ettevõtte Samsung teadlaste rühm on välja töötanud ARM-protsessoritele suunatud rünnete tehnika, mille koodnimi on TikTag. Seda saab kasutada MemTag (MTE, Memory Tagging Extension) riistvarakaitse mehhanismi ümberkäimiseks, mis on olemas ARMv8.5-A arhitektuuriga kiipides. Rünne võimaldab tuvastada TikTagi silte suvalistes mäluaadressides, mis tulenevad andmelekkest, mis toimub protsessori spetsiifilise juhiseid spekuleerimise ajal.

MemTag tehnoloogia võimaldab siduda silte mälupiirkondadega ja korraldada pointerite kasutamise korrektuse kontrollimise, et vältida haavatavuste ärakasutamist, mis on põhjustatud juba vabastatud mälublockidele, puhvri ülevoolule ja algatamata pöördumisele. MemTag'i kasutamisel luuakse iga 16 baiti füüsilise mälu kohta 4-bitine silt, mis toimib toel nagu juurdepääsuvõti sellele mälule. Sildi saab genereerida rakenduse poolt eraldatud mälupiirkonnale spetsiaalsete protsessorijuhiste abil ning seejärel salvestada pointeri ülemistesse kasutamata bittidesse. Kui pöörduda mälu poole, kasutades sildiga pointerit, kontrollib protsessor sildi vastavust pointeriga seotud siltide ja mälublockide vahel ning lubab juurdepääsu ainult siis, kui sildid ühtivad.

Esitatud rünnete meetod võimaldab määrata mälublockidega seotud sildid ja vältida MemTag kaitset. Teadlased on demonstreerinud võimalust teostada TikTag rünne, kasutades haavatavusi Linuxi tuumas ja brauseris Chrome, kasutades nende toodete juhiseid (kõrvaltoimet), mis viivad koodide spekulatiivse täitmiseni. Sellised kõrvaltoimed, kui neid täidetakse spekulatiivses režiimis pointeritega töötava koodi järgi, kutsuvad esile MemTagi metaandmete lugemise, olenevalt välistest tingimustest, millele ründaja võib mõju avaldada. Pärast vale prognoosi määramist visatakse spekulatiivse täitmise tulemus kõrvale, kuid saadud andmed jäävad vahemällu ja neid saab seejärel välja tõmmata kõrvalkanalite analüüsi teel. MemTagi kaitse eduka ümbersõidu tõenäosus testitud katsetes hinnati 95%-ks, kui rünne viidi läbi umbes 4 sekundi jooksul.

Tuvastatud on kaks tüüpi seadmeid, mis võivad põhjustada MemTagi siltide lekkeid. Esimesel juhul tekib spekulatiivne täitmine vale haruennustuse tõttu ning seadme täitmise tingimusi saab luua süsteemikõnede manipuleerimise kaudu. Teisel juhul
tekib spekulatiivne täitmine seoses viga lugemise ja kirjutamise operatsioonide vaheline seose ennustamises STLF-i (Store-To-Load-Forwarding) optimeerimise kasutamisel, mis võimaldab silti leida, hindades vahemälu olekut (kui silt vastab, suunatakse väärtus otse eelmisest 'store' käsust 'load' operatsiooni ja muutub vahemälu olek). Esimene tüüp seadmeid sobib Linuxi tuumale rünnakuks, teine aga JavaScripti mootorile V8, mida kasutatakse Chromiumi põhjal olevates brauserites. Rünnaku teostamise prototüüp on avaldatud GitHubis.

Ettevõte ARM on kinnitanud võimalust rünnata süsteeme, millel on Cortex-X2, Cortex-X3, Cortex-A510, Cortex-A520, Cortex-A710, Cortex-A715 ja Cortex-A720 protsessorid, kuid ei kavatse muuta CPU-d probleemi blokeerimiseks, kuna MemTagi arhitektuur näeb ette, et sildid ei ole rakenduste jaoks salajased andmed. Chromiumi koodibaasis jääb probleem samuti lahendamata, kuna brauseris Chrome pole MemTagi põhine kaitse vaikimisi kasutusel. Androidi platvormi turvameeskond tunnustas võimalust rünnata Pixel 8 seadmeid, mis kasutavad MemTagi kaitset, lisades parandusi lekete blokeerimiseks ja väljendades valmisolekut maksta tasu leitud haavatavuse eest.

Rünnaku blokeerimise kõrvalmeetodidena pakuvad teadlased kasutada sb või isb käske spekulatiivse täitmise keelamiseks mäluga seotud kriitiliste operatsioonide ajal või lisada vahele haru põhistruktuuride ja mäluekstraktsioonide vahel muid käske.

Allikas: opennet.ru