[論文レビュー] Heckler: Breaking Confidential VMs with Malicious Interrupts

Benedict Schlüter, Supraja Sridhara+3 more|arXiv (Cornell University)|Apr 4, 2024

Network Security and Intrusion Detection被引用数 7

ひとこと要約

Heckler は、特権ハイパーバイザが AMD SEV-SNP および Intel TDX の機密 VM に悪意のある割り込みを注入してゲストのレジスタ状態を変更し、機密性と整合性を破壊するソフトウェアベースの攻撃を実証し、OpenSSH と sudo の認証を回避し、特定のアプリケーションを混乱させる。

ABSTRACT

Hardware-based Trusted execution environments (TEEs) offer an isolation granularity of virtual machine abstraction. They provide confidential VMs (CVMs) that host security-sensitive code and data. AMD SEV-SNP and Intel TDX enable CVMs and are now available on popular cloud platforms. The untrusted hypervisor in these settings is in control of several resource management and configuration tasks, including interrupts. We present Heckler, a new attack wherein the hypervisor injects malicious non-timer interrupts to break the confidentiality and integrity of CVMs. Our insight is to use the interrupt handlers that have global effects, such that we can manipulate a CVM's register states to change the data and control flow. With AMD SEV-SNP and Intel TDX, we demonstrate Heckler on OpenSSH and sudo to bypass authentication. On AMD SEV-SNP we break execution integrity of C, Java, and Julia applications that perform statistical and text analysis. We explain the gaps in current defenses and outline guidelines for future defenses.

研究の動機と目的

• ハイパーバイザが制御する割り込みインタフェースを強調することで、CVM における信頼済み計算境界の再評価を促す。
• 非タイマ割り込みが明示的なエフェクトハンドラを呼び出してCVMの状態とプログラムの流れを変更できることを示す。
• 実際のハードウェアのTEEで実用的な侵入を実証し、認証を回避しデータ分析結果を破損させることを含む。
• 現在の防御のギャップを特定し、悪意ある割り込みに対するCVMの防御ガイドラインを提案する。

提案手法

• AMD SEV-SNP および Intel TDX CVM への割り込み注入能力をハイパーバイザの観点から分析する。
• int 0x80 や SIGFPE のようなシグナル、割り込みによって誘発される明示的なエフェクトハンドラ（ガジェット）を特定する。
• CVM 内で割り込みがユーザー空間のハンドラとカーネルのシステムコールにどのようにマッピングされるかを計測・特徴づける。
• OpenSSH と sudo の認証を回避するエンドツーエンドの攻撃シナリオを開発する。
• 観測された攻撃を緩和するためのカーネルパッチと防御ガイドラインを提案する。

実験結果

リサーチクエスチョン

• RQ1 ハイパーバイザは SEV-SNP および TDX の CVM に割り込みを注入して、ユーザー空間のアプリケーションに明示的な効果を引き起こすことができますか？
• RQ2 一般的な CVM にホストされたサービス（例：OpenSSH、sudo、SIGFPE 有効なワークロード）には、どのような具体的な割り込みガジェットが存在しますか？
• RQ3 これらのガジェットをどのように連鎖させて機密VM内のデータと制御フローを変更できますか？
• RQ4 悪意ある割り込みに対して効果的な防御は何か、現在の SEV-SNP/TDX の保護はどこが不十分ですか？
• RQ5 TEE パフォーマンスを犠牲にせずに Heckler を緩和する現実的な手順は何ですか？

主な発見

• int 0x80 などの割り込みは CVM に伝達され、ゲストのレジスタ状態を変更して不正なシステムコールを可能にする。
• 悪意のある割り込みは、重大なルーチンの戻り値を変更して OpenSSH 認証と sudo を回避する可能性がある。
• 明示的なエフェクトハンドラ（SIGFPE、その他のシグナル）は Java、Julia、C のワークロードにおけるアプリケーション状態とデータの流れを変更できる。
• 共通サービスに Heckler ガジェットが存在する；例えば int 0x80 はログイン回避を引き起こし、SIGFPE ハンドラは統計・テキスト分析結果を偏らせる可能性がある。
• AMD SEV-SNP および Intel TDX は悪用可能な割り込み経路を公開しており、現在の防御のギャップを明らかにする。
• カーネルパッチは特定のガジェット（例：SEV-SNP/TDX 上の int 0x80）を緩和できるが、より広範な保護が依然として必要である。