{"id":116613,"date":"2024-06-18T12:05:50","date_gmt":"2024-06-18T10:05:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/tiktag-ataka-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu-arm-pozvolyayushhaya-obojti-zashhitu-memtag"},"modified":"2024-06-18T12:05:50","modified_gmt":"2024-06-18T10:05:50","slug":"tiktag-ataka-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu-arm-pozvolyayushhaya-obojti-zashhitu-memtag","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/tiktag-ataka-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu-arm-pozvolyayushhaya-obojti-zashhitu-memtag","title":{"rendered":"TikTag \u2014 an attack on the speculative execution mechanism in ARM CPUs that allows bypassing MemTag protection","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Grupa badawcza z Uniwersytetu Seulskiego i firmy Samsung opracowa\u0142a technik\u0119 ataku na procesory ARM, nosz\u0105c\u0105 kodow\u0105 nazw\u0119 TikTag, kt\u00f3r\u0105 mo\u017cna wykorzysta\u0107 do omini\u0119cia sprz\u0119towego mechanizmu ochrony MemTag (MTE, Memory Tagging Extension) obecnego w chipach opartych na architekturze ARMv8.5-A. Atak pozwala na okre\u015blenie zawarto\u015bci tag\u00f3w TikTag dla dowolnych adres\u00f3w pami\u0119ci z powodu wyciek\u00f3w danych, kt\u00f3re wyst\u0119puj\u0105 w wyniku spekulacyjnego wykonywania instrukcji CPU. <\/p>\n
Technologia MemTag umo\u017cliwia przypisanie tag\u00f3w do obszar\u00f3w pami\u0119ci oraz organizacj\u0119 sprawdzania poprawno\u015bci u\u017cycia wska\u017anik\u00f3w w celu zablokowania eksploatacji podatno\u015bci spowodowanych dost\u0119pem do ju\u017c zwolnionych blok\u00f3w pami\u0119ci, przepe\u0142nieniem bufora i dost\u0119pem przed inicjalizacj\u0105. Podczas korzystania z MemTag dla ka\u017cdego 16 bajt\u00f3w fizycznej pami\u0119ci tworzony jest 4-bitowy tag, kt\u00f3ry dzia\u0142a jak klucz do dost\u0119pu do tej pami\u0119ci. Tag mo\u017ce by\u0107 generowany przez aplikacj\u0119 dla przydzielanego obszaru pami\u0119ci przy u\u017cyciu specjalnych instrukcji CPU, a nast\u0119pnie przechowywany w g\u00f3rnych nieu\u017cywanych bitach wska\u017anika. Podczas dost\u0119pu do pami\u0119ci z u\u017cyciem tagowanego wska\u017anika, procesor sprawdza zgodno\u015b\u0107 tagu przypisanego do wska\u017anika z tagami przypisanymi do blok\u00f3w pami\u0119ci, a dost\u0119p jest dozwolony tylko wtedy, gdy tagi si\u0119 zgadzaj\u0105. <\/p>\n
Proponowana metoda ataku umo\u017cliwia okre\u015blenie tag\u00f3w przypisanych do blok\u00f3w pami\u0119ci i omini\u0119cie ochrony MemTag. Badacze wykazali mo\u017cliwo\u015b\u0107 przeprowadzenia ataku TikTag przy wykorzystaniu podatno\u015bci w j\u0105drze Linux i przegl\u0105darce Chrome, u\u017cywaj\u0105c istniej\u0105cych w tych produktach sekwencji instrukcji (gad\u017cet\u00f3w), prowadz\u0105cych do spekulacyjnego wykonywania kodu. Podobne gad\u017cety, podczas wykonywania w trybie spekulacyjnym kodu operuj\u0105cego na wska\u017anikach, powoduj\u0105 odczyt metadanych MemTag w zale\u017cno\u015bci od zewn\u0119trznych warunk\u00f3w, na kt\u00f3re mo\u017ce wp\u0142ywa\u0107 atakuj\u0105cy. Po okre\u015bleniu b\u0142\u0119dnego prognozy wynik spekulacyjnego wykonania jest odrzucany, ale uzyskane dane pozostaj\u0105 w pami\u0119ci podr\u0119cznej i mog\u0105 by\u0107 p\u00f3\u017aniej wydobyte za pomoc\u0105 analizy kana\u0142\u00f3w bocznych. Prawdopodobie\u0144stwo pomy\u015blnego omini\u0119cia ochrony MemTag w przeprowadzonych testach oszacowane zosta\u0142o na 95% podczas ataku trwaj\u0105cego oko\u0142o 4 sekundy.<\/p>\n
<\/center><\/p>\n
Wykryto dwa rodzaje gad\u017cet\u00f3w, kt\u00f3re prowadz\u0105 do wycieku informacji o tagach MemTag. W pierwszym przypadku wykonywanie spekulacyjne wyst\u0119puje przy b\u0142\u0119dnym przewidywaniu przej\u015bcia, a warunki do wykonania gad\u017cetu mog\u0105 by\u0107 stworzone poprzez manipulacj\u0119 wywo\u0142aniami systemowymi. W drugim przypadku \nWykonywanie spekulacyjne wynika z b\u0142\u0119du przewidywania zwi\u0105zku mi\u0119dzy operacjami odczytu a zapisu przy u\u017cyciu optymalizacji STLF (Store-To-Load-Forwarding), co pozwala na dopasowanie tagu, oceniaj\u0105c stan pami\u0119ci podr\u0119cznej (je\u015bli tag si\u0119 zgadza, warto\u015b\u0107 zostanie bezpo\u015brednio przekierowana z poprzedniego polecenia \u201estore\u201d do operacji \u201eload\u201d i zmieni stan pami\u0119ci podr\u0119cznej). Pierwszy rodzaj gad\u017cet\u00f3w nadaje si\u0119 do ataku na j\u0105dro Linux, a drugi na silnik JavaScript V8, u\u017cywany w przegl\u0105darkach opartych na Chromium. Prototyp narz\u0119dzi do przeprowadzenia ataku zosta\u0142 opublikowany na GitHubie.<\/p>\n
<\/center><\/p>\n
Firma ARM potwierdzi\u0142a mo\u017cliwo\u015b\u0107 przeprowadzenia ataku na systemach z procesorami Cortex-X2, Cortex-X3, Cortex-A510, Cortex-A520, Cortex-A710, Cortex-A715 i Cortex-A720, ale nie zamierza wprowadza\u0107 zmian w CPU, aby zablokowa\u0107 problem, poniewa\u017c architektura MemTag zak\u0142ada, \u017ce tagi nie s\u0105 danymi sekretami dla aplikacji. W kodzie \u017ar\u00f3d\u0142owym Chromium problem r\u00f3wnie\u017c pozostaje niepoprawiony, poniewa\u017c w przegl\u0105darce Chrome ochrona oparta na MemTag na razie nie jest stosowana domy\u015blnie. Zesp\u00f3\u0142 odpowiedzialny za bezpiecze\u0144stwo platformy Android uzna\u0142 mo\u017cliwo\u015b\u0107 przeprowadzenia ataku na urz\u0105dzenia Pixel 8, w kt\u00f3rych stosuje si\u0119 ochron\u0119 MemTag, doda\u0142 poprawki w celu zablokowania wyciek\u00f3w i wyrazi\u0142 gotowo\u015b\u0107 do wyp\u0142aty nagrody za znalezienie luki.<\/p>\n
Jako obej\u015bcia w celu zablokowania ataku, badacze proponuj\u0105 u\u017cycie instrukcji sb lub isb, aby zakaza\u0107 wykonywania spekulacyjnego podczas przeprowadzania krytycznych operacji na pami\u0119ci lub w\u0142\u0105czenie pomi\u0119dzy instrukcjami rozga\u0142\u0119zienia a instrukcjami dost\u0119pu do pami\u0119ci wype\u0142nienia z innych instrukcji. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"TikTag](\"\/wp-content\/uploads\/2024\/06\/449bdf2385ce1e4f416fa23a8b55583b.png\")
<\/center><\/p>\n![\"TikTag](\"\/wp-content\/uploads\/2024\/06\/520ec0c4308a1c5da52114d92ef4d0d3.png\")
![\"TikTag](\"\/wp-content\/uploads\/2024\/06\/f6618d885c0d2580924c2d678f1c40cb.png\")
<\/center><\/p>\n