{"id":116613,"date":"2024-06-18T12:05:50","date_gmt":"2024-06-18T10:05:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/tiktag-ataka-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu-arm-pozvolyayushhaya-obojti-zashhitu-memtag"},"modified":"2024-06-18T12:05:50","modified_gmt":"2024-06-18T10:05:50","slug":"tiktag-ataka-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu-arm-pozvolyayushhaya-obojti-zashhitu-memtag","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/tiktag-ataka-na-mehanizm-spekulyativnogo-vypolneniya-v-cpu-arm-pozvolyayushhaya-obojti-zashhitu-memtag","title":{"rendered":"TikTag \u2014 um ataque ao mecanismo de execu\u00e7\u00e3o especulativa na CPU ARM, que permite contornar a prote\u00e7\u00e3o MemTag.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Um grupo de pesquisadores da Universidade de Seul e da Samsung desenvolveu uma t\u00e9cnica de ataque a processadores ARM, chamada TikTag, que pode ser usada para contornar o mecanismo de prote\u00e7\u00e3o de hardware MemTag (MTE, Memory Tagging Extension), presente em chips baseados na arquitetura ARMv8.5-A. O ataque permite determinar o conte\u00fado das tags TikTag para endere\u00e7os de mem\u00f3ria arbitr\u00e1rios devido a vazamentos de dados que ocorrem como resultado da execu\u00e7\u00e3o especulativa de instru\u00e7\u00f5es da CPU. <\/p>\n
A tecnologia MemTag permite vincular tags a \u00e1reas da mem\u00f3ria e organizar a verifica\u00e7\u00e3o da corre\u00e7\u00e3o do uso de ponteiros para bloquear a explora\u00e7\u00e3o de vulnerabilidades causadas pelo acesso a blocos de mem\u00f3ria j\u00e1 liberados, estouro de buffers e acessos antes da inicializa\u00e7\u00e3o. Ao usar o MemTag, a cada 16 bytes de mem\u00f3ria f\u00edsica, \u00e9 criada uma tag de 4 bits, que atua como uma chave de acesso a essa mem\u00f3ria. A tag pode ser gerada pelo aplicativo para a \u00e1rea de mem\u00f3ria alocada por meio de instru\u00e7\u00f5es especiais da CPU e, em seguida, armazenada nos bits superiores n\u00e3o utilizados do ponteiro. Ao acessar a mem\u00f3ria usando um ponteiro com tag, o processador verifica se a tag vinculada ao ponteiro corresponde \u00e0s tags vinculadas aos blocos de mem\u00f3ria e permite acesso somente se as tags coincidirem. <\/p>\n
O m\u00e9todo de ataque proposto permite determinar as tags vinculadas aos blocos de mem\u00f3ria e contornar a prote\u00e7\u00e3o do MemTag. Os pesquisadores demonstraram a possibilidade de realizar o ataque TikTag explorando vulnerabilidades no n\u00facleo do Linux e no navegador Chrome, usando sequ\u00eancias de instru\u00e7\u00f5es (gadgets) j\u00e1 existentes nesses produtos, que levam \u00e0 execu\u00e7\u00e3o especulativa de c\u00f3digo. Esses gadgets, quando executados em modo especulativo com c\u00f3digo que trabalha com ponteiros, provocam a leitura de metadados do MemTag dependendo das condi\u00e7\u00f5es externas, que podem ser influenciadas pelo atacante. Ap\u00f3s determinar a previs\u00e3o incorreta, o resultado da execu\u00e7\u00e3o especulativa \u00e9 descartado, mas os dados obtidos permanecem no cache e podem ser extra\u00eddos por meio de an\u00e1lise de canais laterais. A probabilidade de contornar com sucesso a prote\u00e7\u00e3o do MemTag nos testes realizados foi avaliada em 95% durante o ataque, que durou aproximadamente 4 segundos.<\/p>\n
<\/center><\/p>\n
Foram identificados dois tipos de gadgets que levam \u00e0 vazamento de informa\u00e7\u00f5es sobre as tags MemTag. No primeiro caso, a execu\u00e7\u00e3o especulativa ocorre devido a uma previs\u00e3o de desvio incorreta, e as condi\u00e7\u00f5es para a execu\u00e7\u00e3o do gadget podem ser criadas por meio de manipula\u00e7\u00f5es de chamadas de sistema. No segundo caso \nA execu\u00e7\u00e3o especulativa ocorre devido a um erro na previs\u00e3o da rela\u00e7\u00e3o entre opera\u00e7\u00f5es de leitura e grava\u00e7\u00e3o ao utilizar a otimiza\u00e7\u00e3o STLF (Store-To-Load-Forwarding), permitindo ajustar a tag avaliando o estado do cache (se a tag coincidir, o valor ser\u00e1 redirecionado diretamente do comando anterior 'store' para a opera\u00e7\u00e3o 'load' e mudar\u00e1 o estado do cache). O primeiro tipo de gadgets \u00e9 adequado para atacar o n\u00facleo do Linux, enquanto o segundo \u00e9 voltado para o motor JavaScript V8, utilizado em navegadores baseados em Chromium. O prot\u00f3tipo da ferramenta para a execu\u00e7\u00e3o do ataque foi publicado no GitHub.<\/p>\n
<\/center><\/p>\n
A empresa ARM confirmou a possibilidade de ataques em sistemas com processadores Cortex-X2, Cortex-X3, Cortex-A510, Cortex-A520, Cortex-A710, Cortex-A715 e Cortex-A720, mas n\u00e3o tem inten\u00e7\u00e3o de fazer mudan\u00e7as nos CPUs para bloquear o problema, pois a arquitetura MemTag pressup\u00f5e que as tags n\u00e3o s\u00e3o dados secretos para os aplicativos. No c\u00f3digo da base Chromium, o problema tamb\u00e9m permanece n\u00e3o corrigido, uma vez que no navegador Chrome a prote\u00e7\u00e3o baseada em MemTag ainda n\u00e3o \u00e9 aplicada por padr\u00e3o. A equipe respons\u00e1vel pela seguran\u00e7a da plataforma Android reconheceu a possibilidade de ataques em dispositivos Pixel 8, que utilizam prote\u00e7\u00e3o MemTag, adicionou corre\u00e7\u00f5es para bloquear vazamentos e expressou disposi\u00e7\u00e3o para recompensar a descoberta de vulnerabilidades.<\/p>\n
Como m\u00e9todos de contorno para bloquear o ataque, os pesquisadores sugerem usar as instru\u00e7\u00f5es sb ou isb para proibir a execu\u00e7\u00e3o especulativa durante a realiza\u00e7\u00e3o de opera\u00e7\u00f5es cr\u00edticas de mem\u00f3ria ou inserir preenchimento de outras instru\u00e7\u00f5es entre instru\u00e7\u00f5es de desvio e instru\u00e7\u00f5es de acesso \u00e0 mem\u00f3ria. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"TikTag](\"\/wp-content\/uploads\/2024\/06\/449bdf2385ce1e4f416fa23a8b55583b.png\")
<\/center><\/p>\n![\"TikTag](\"\/wp-content\/uploads\/2024\/06\/520ec0c4308a1c5da52114d92ef4d0d3.png\")
![\"TikTag](\"\/wp-content\/uploads\/2024\/06\/f6618d885c0d2580924c2d678f1c40cb.png\")
<\/center><\/p>\n