ໂຈມຕີ Intel SGX ເພື່ອສະກັດຂໍ້ມູນທີ່ລະອຽດອ່ອນຫຼືປະຕິບັດລະຫັດໃນ enclave

ນັກຄົ້ນຄວ້າຈາກມະຫາວິທະຍາໄລວິທະຍາສາດແລະເຕັກໂນໂລຢີປ້ອງກັນກອງທັບປົດປ່ອຍປະຊາຊົນ, ມະຫາວິທະຍາໄລແຫ່ງຊາດສິງກະໂປແລະ ETH Zurich ໄດ້ພັດທະນາວິທີການໃຫມ່ໃນການໂຈມຕີ enclaves ທີ່ໂດດດ່ຽວ Intel SGX (Software Guard eXtensions). ການໂຈມຕີເອີ້ນວ່າ SmashEx ແລະເກີດຈາກບັນຫາກັບ reentrance ໃນເວລາທີ່ຈັດການກັບສະຖານະການຍົກເວັ້ນໃນລະຫວ່າງການປະຕິບັດງານຂອງອົງປະກອບ runtime ສໍາລັບ Intel SGX. ວິທີການໂຈມຕີທີ່ສະເຫນີເຮັດໃຫ້ມັນເປັນໄປໄດ້, ຖ້າທ່ານມີການຄວບຄຸມລະບົບປະຕິບັດການ, ເພື່ອກໍານົດຂໍ້ມູນທີ່ເປັນຄວາມລັບຢູ່ໃນ enclave, ຫຼືຈັດຕັ້ງການຄັດລອກລະຫັດຂອງທ່ານເຂົ້າໄປໃນຫນ່ວຍຄວາມຈໍາຂອງ enclave ແລະການປະຕິບັດຂອງມັນ.

ຕົວແບບການຂຸດຄົ້ນໄດ້ຖືກກະກຽມສໍາລັບ enclaves ທີ່ມີເວລາແລ່ນໂດຍອີງໃສ່ Intel SGX SDK (CVE-2021-0186) ແລະ Microsoft Open Enclave (CVE-2021-33767). ໃນກໍລະນີທໍາອິດ, ຄວາມສາມາດໃນການສະກັດລະຫັດ RSA ທີ່ໃຊ້ໃນເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌ສໍາລັບ HTTPS ໄດ້ຖືກສະແດງໃຫ້ເຫັນ, ແລະໃນທີສອງ, ມັນເປັນໄປໄດ້ທີ່ຈະກໍານົດເນື້ອຫາທີ່ໄດ້ຮັບໂດຍ cURL utility ແລ່ນພາຍໃນ enclave. ຊ່ອງໂຫວ່ດັ່ງກ່າວໄດ້ຖືກແກ້ໄຂດ້ວຍໂປຣແກຣມແລ້ວໃນການປ່ອຍ Intel SGX SDK 2.13 ແລະ Open Enclave 0.17.1. ນອກເຫນືອຈາກ Intel SGX SDK ແລະ Microsoft Open Enclave, ຊ່ອງໂຫວ່ຍັງປາກົດຢູ່ໃນ Google Asylo SDK, EdgelessRT, Apache Teaclave, Rust SGX SDK, SGX-LKL, CoSMIX ແລະ Veracruz.

ໃຫ້ພວກເຮົາຈື່ໄວ້ວ່າເຕັກໂນໂລຢີ SGX (Software Guard Extensions) ປາກົດຢູ່ໃນໂປເຊດເຊີ Intel Core ລຸ້ນທີ 0 (Skylake) ແລະສະເຫນີຊຸດຄໍາແນະນໍາທີ່ອະນຸຍາດໃຫ້ແອັບພລິເຄຊັນລະດັບຜູ້ໃຊ້ສາມາດຈັດສັນພື້ນທີ່ຫນ່ວຍຄວາມຈໍາທີ່ປິດ - enclaves, ເນື້ອໃນທີ່ບໍ່ສາມາດອ່ານໄດ້ແລະ. ດັດແກ້ໂດຍ kernel ແລະລະຫັດປະຕິບັດໃນໂຫມດ ringXNUMX, SMM ແລະ VMM. ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະໂອນການຄວບຄຸມໄປຫາລະຫັດໃນ enclave ໂດຍໃຊ້ຫນ້າທີ່ເຕັ້ນໄປຫາແບບດັ້ງເດີມແລະການຫມູນໃຊ້ກັບທະບຽນແລະ stack - ຄໍາແນະນໍາໃຫມ່ທີ່ສ້າງຂື້ນໂດຍສະເພາະ EENTER, EEXIT ແລະ ERESUME ຖືກນໍາໃຊ້ເພື່ອໂອນການຄວບຄຸມໄປຫາ enclave, ເຊິ່ງດໍາເນີນການກວດສອບສິດອໍານາດ. ໃນກໍລະນີນີ້, ລະຫັດທີ່ວາງໄວ້ໃນ enclave ສາມາດໃຊ້ວິທີການເອີ້ນແບບຄລາສສິກເພື່ອເຂົ້າເຖິງຫນ້າທີ່ພາຍໃນ enclave ແລະຄໍາແນະນໍາພິເສດເພື່ອໂທຫາຫນ້າທີ່ພາຍນອກ. ການເຂົ້າລະຫັດໜ່ວຍຄວາມຈຳ Enclave ແມ່ນໃຊ້ເພື່ອປ້ອງກັນການໂຈມຕີດ້ວຍຮາດແວ ເຊັ່ນ: ການເຊື່ອມຕໍ່ກັບໂມດູນ DRAM.

ບັນຫາແມ່ນວ່າເທກໂນໂລຍີ SGX ອະນຸຍາດໃຫ້ລະບົບປະຕິບັດການຍົກເລີກການປິດລ້ອມໂດຍການຖິ້ມຂໍ້ຍົກເວັ້ນຂອງຮາດແວ, ແລະ enclaves ບໍ່ໄດ້ປະຕິບັດຢ່າງຖືກຕ້ອງສໍາລັບປະລໍາມະນູການຈັດການຂໍ້ຍົກເວັ້ນດັ່ງກ່າວ. ບໍ່ເຫມືອນກັບ kernel ລະບົບປະຕິບັດການແລະຄໍາຮ້ອງສະຫມັກປົກກະຕິ, ລະຫັດພາຍໃນ enclaves ບໍ່ມີການເຂົ້າເຖິງ primitives ສໍາລັບການຈັດລະບຽບປະລໍາມະນູໃນເວລາທີ່ການຈັດການຂໍ້ຍົກເວັ້ນຖິ້ມ asynchronously. ໂດຍບໍ່ມີການກໍານົດໄວ້ໃນຕອນຕົ້ນຂອງປະລໍາມະນູ, enclave ສາມາດຂັດຂວາງໄດ້ທຸກເວລາແລະກັບຄືນສູ່ການປະຕິບັດ, ເຖິງແມ່ນວ່າໃນເວລາທີ່ enclave ກໍາລັງປະຕິບັດພາກສ່ວນທີ່ສໍາຄັນແລະຢູ່ໃນສະພາບທີ່ບໍ່ປອດໄພ (ຕົວຢ່າງເຊັ່ນ, ເມື່ອ CPU ລົງທະບຽນບໍ່ໄດ້ບັນທຶກ / ຟື້ນຟູ).

ສໍາລັບການດໍາເນີນງານຕາມປົກກະຕິ, ເຕັກໂນໂລຊີ SGX ອະນຸຍາດໃຫ້ການປະຕິບັດຂອງ enclave ໄດ້ຖືກລົບກວນໂດຍການຍົກເວັ້ນຮາດແວທີ່ກໍາຫນົດຄ່າໄດ້. ຄຸນສົມບັດນີ້ອະນຸຍາດໃຫ້ສະພາບແວດລ້ອມ runtime enclave ປະຕິບັດການຈັດການຂໍ້ຍົກເວັ້ນພາຍໃນ enclave ຫຼືການປະມວນຜົນສັນຍານ, ແຕ່ມັນຍັງສາມາດເຮັດໃຫ້ເກີດຄວາມຜິດພາດ reentrant. ການໂຈມຕີ SmashEx ແມ່ນອີງໃສ່ການຂຸດຄົ້ນຂໍ້ບົກພ່ອງໃນ SDK ເນື່ອງຈາກສະຖານະການການເອີ້ນຄືນໃຫມ່ຂອງຕົວຈັດການຂໍ້ຍົກເວັ້ນບໍ່ໄດ້ຖືກຈັດການຢ່າງຖືກຕ້ອງ. ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະຂູດຮີດຊ່ອງໂຫວ່, ຜູ້ໂຈມຕີຈະຕ້ອງສາມາດຂັດຂວາງການປະຕິບັດຂອງ enclave, i.e. ຕ້ອງຄວບຄຸມການເຮັດວຽກຂອງສະພາບແວດລ້ອມຂອງລະບົບ.

ຫຼັງຈາກຖິ້ມຂໍ້ຍົກເວັ້ນ, ຜູ້ໂຈມຕີໄດ້ຮັບປ່ອງຢ້ຽມທີ່ໃຊ້ເວລາຂະຫນາດນ້ອຍໃນໄລຍະທີ່ກະທູ້ປະຕິບັດສາມາດຖືກຂັດຂວາງໂດຍຜ່ານການຫມູນໃຊ້ຂອງຕົວກໍານົດການປ້ອນຂໍ້ມູນ. ໂດຍສະເພາະ, ຖ້າທ່ານມີການເຂົ້າເຖິງລະບົບ (ສະພາບແວດລ້ອມພາຍນອກ enclave), ທ່ານສາມາດສ້າງຂໍ້ຍົກເວັ້ນໃຫມ່ໃນທັນທີຫຼັງຈາກປະຕິບັດຄໍາແນະນໍາການເຂົ້າ enclave (EENTER), ເຊິ່ງຈະກັບຄືນການຄວບຄຸມກັບລະບົບໃນຂັ້ນຕອນໃດຫນຶ່ງໃນເວລາທີ່ການຕິດຕັ້ງ stack ສໍາລັບ. enclave ຍັງ​ບໍ່​ທັນ​ໄດ້​ຮັບ​ການ​ສໍາ​ເລັດ​, ໃນ​ທີ່​ລັດ​ຂອງ​ການ​ລົງ​ທະ​ບຽນ CPU ໄດ້​ຖືກ​ບັນ​ທຶກ​ໄວ້​.

ຫຼັງຈາກນັ້ນລະບົບສາມາດກັບຄືນການຄວບຄຸມກັບຄືນໄປບ່ອນ enclave ໄດ້, ແຕ່ເນື່ອງຈາກວ່າ stack ຂອງ enclave ບໍ່ໄດ້ກໍາຫນົດຄ່າໃນເວລາທີ່ຂັດຂວາງ, enclave ຈະດໍາເນີນການກັບ stack ທີ່ຢູ່ໃນຫນ່ວຍຄວາມຈໍາຂອງລະບົບ, ຊຶ່ງສາມາດຖືກນໍາໃຊ້ເພື່ອໃຊ້ກັບການຂຽນໂປລແກລມທີ່ສຸມໃສ່ການກັບຄືນ (ROP. ) ເຕັກນິກການຂຸດຄົ້ນ. Oriented Programming). ເມື່ອນໍາໃຊ້ເຕັກນິກ ROP, ຜູ້ໂຈມຕີບໍ່ໄດ້ພະຍາຍາມວາງລະຫັດຂອງຕົນໃນຫນ່ວຍຄວາມຈໍາ, ແຕ່ດໍາເນີນການກ່ຽວກັບຄໍາແນະນໍາຂອງເຄື່ອງຈັກທີ່ມີຢູ່ໃນຫ້ອງສະຫມຸດທີ່ໂຫລດ, ສິ້ນສຸດດ້ວຍຄໍາແນະນໍາຄືນການຄວບຄຸມ (ຕາມກົດລະບຽບ, ເຫຼົ່ານີ້ແມ່ນຫນ້າທີ່ຂອງຫ້ອງສະຫມຸດສິ້ນສຸດ) . ການເຮັດວຽກຂອງການຂຸດຄົ້ນແມ່ນລົງມາເພື່ອສ້າງລະບົບຕ່ອງໂສ້ການໂທຫາບລັອກທີ່ຄ້າຍຄືກັນ ("gadgets") ເພື່ອໃຫ້ໄດ້ຫນ້າທີ່ທີ່ຕ້ອງການ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru