[論文レビュー] Downgrade Attack on TrustZone

Yue Chen, Yulong Zhang+2 more|arXiv (Cornell University)|Jul 17, 2017

Security and Verification in Computing参考文献 6被引用数 23

ひとこと要約

この論文は、ARM TrustZoneにおける再利用された検証鍵と、ソフトウェアバージョン間での不十分なロールバック保護を悪用するダウングレード攻撃を提示している。信頼できるアプリケーションやTrustZone OSを脆弱で古くなったバージョンにダウングレードすることで、攻撃者はセキュリティメカニズムを回避可能であり、Google、Samsung、Huaweiのデバイスを含む実際のデモが行われた。特にQualcommのQSEEに対しても動作するエクスプロイトが確認された。

ABSTRACT

Security-critical tasks require proper isolation from untrusted software. Chip manufacturers design and include trusted execution environments (TEEs) in their processors to secure these tasks. The integrity and security of the software in the trusted environment depend on the verification process of the system. We find a form of attack that can be performed on the current implementations of the widely deployed ARM TrustZone technology. The attack exploits the fact that the trustlet (TA) or TrustZone OS loading verification procedure may use the same verification key and may lack proper rollback prevention across versions. If an exploit works on an out-of-date version, but the vulnerability is patched on the latest version, an attacker can still use the same exploit to compromise the latest system by downgrading the software to an older and exploitable version. We did experiments on popular devices on the market including those from Google, Samsung and Huawei, and found that all of them have the risk of being attacked. Also, we show a real-world example to exploit Qualcomm's QSEE. In addition, in order to find out which device images share the same verification key, pattern matching schemes for different vendors are analyzed and summarized.

研究の動機と目的

• 再利用された検証鍵と不十分なロールバック防止機構がTrustZone実装に与えるセキュリティリスクを調査すること。
• 信頼できるアプリケーションやTrustZone OSの古いバージョンに存在する既知の脆弱性を、ダウングレードによって悪用できるかを実証すること。
• 異なるデバイスベンダー間で共通する検証鍵のパターンを分析し、脆弱性の影響範囲を特定すること。
• 実際のプロダクションTEE、特にQualcommのQSEEに対して、ダウングレード攻撃のPoCを提供すること。
• 後方互換性が進んだセキュリティを損なう、TEE設計における体系的リスクを啓発すること。

提案手法

• 研究者たちは、複数の商用デバイスにおけるTrustZone OSおよび信頼できるアプリケーション（TA）のロードプロセスを逆コンパイルした。
• 複数のベンダーの複数のデバイスイメージが、信頼できるソフトウェアの署名に同じ検証鍵を使用していることを特定した。
• バイナリパターンと署名メタデータを分析することで、異なるデバイスモデルやベンダー間で共有される鍵を検出するためのパターンマッチング方式を開発した。
• システムが古い、脆弱なバージョンのTAまたはTrustZone OSをロードするようにだますことで、ダウングレード攻撃を構築した。
• 古くなったバージョンに対する既知のリモートエクスプロイトを活用し、QualcommのQSEEで脆弱性を実際に悪用した。
• 攻撃はGoogle、Samsung、Huaweiのデバイスでも検証され、この欠陥の広範な影響を確認した。

実験結果

リサーチクエスチョン

• RQ1 異なるソフトウェアバージョン間で再利用された検証鍵を悪用することで、ARM TrustZoneに対してダウングレード攻撃を実行可能か？
• RQ2 現在のTrustZone実装が、適切なロールバック保護機構を欠いている程度はどの程度か？
• RQ3 主要ベンダーのどのデバイスイメージが同じ検証鍵を使用しており、大量の悪用を可能にするか？
• RQ4 実際のプロダクションTEE、例えばQualcommのQSEEに対して、ダウングレード攻撃を実行するのは可能か？
• RQ5 商業的に展開されたARM TrustZoneベースのシステム全体に、ダウングレード攻撃のリスクがどの程度広がっているか？

主な発見

• Google、Samsung、Huaweiのすべてのテスト済みデバイスが、共有された検証鍵と弱いロールバック保護のため、ダウングレード攻撃に対して脆弱である。
• QualcommのQSEEに対して、実際に動作するPoC攻撃が実証され、古くなったバージョンの既知の脆弱性が悪用された。
• パターンマッチング分析により、複数のベンダーの複数のデバイスイメージが同じ検証鍵を使用していることが判明し、体系的な設計上の欠陥を示した。
• パッチが提供されても、システムが脆弱なバージョンへのダウングレードを許可する限り、攻撃は依然として有効である。
• バージョン固有の鍵の使用がなく、適切なロールバック防止機構がないことが、TEEセキュリティにおける深刻なバックドアを生み出していることを確認した。
• この脆弱性は広範なデバイスに影響を及ぼしており、孤立した問題ではなく、TrustZoneの展開における広範なアーキテクチャ的欠陥であることが示された。