[論文レビュー] In-Kernel Control-Flow Integrity on Commodity OSes using ARM Pointer Authentication

Sungbae Yoo, Jinbum Park+3 more|arXiv (Cornell University)|Dec 14, 2021

Security and Verification in Computing被引用数 8

ひとこと要約

本稿では、ARMポインタ認証（PA）を用いて、Linux や FreeBSD などのコンmodity OS 用にハードウェア支援型のカーネル内制御フローセキュリティ（CFI）機構である PAL を提案する。PAL は自動的な文脈認識による精錬と静的検証により CFI の精度を向上させ、正しさを保証する。Apache では 1% 未満、Linux perf では 3–5% の性能オーバーヘッドを達成し、iOS やその他の PA ベースのシステムにおいて新たな攻撃ベクトルを特定した。

ABSTRACT

This paper presents an in-kernel, hardware-based control-flow integrity (CFI) protection, called PAL, that utilizes ARM's Pointer Authentication (PA). It provides three important benefits over commercial, state-of-the-art PA-based CFIs like iOS's: 1) enhancing CFI precision via automated refinement techniques, 2) addressing hindsight problems of PA for in kernel uses such as preemptive hijacking and brute-forcing attacks, and 3) assuring the algorithmic or implementation correctness via post validation. PAL achieves these goals in an OS-agnostic manner, so could be applied to commodity OSes like Linux and FreeBSD. The precision of the CFI protection can be adjusted for better performance or improved for better security with minimal engineering efforts if a user opts in to. Our evaluation shows that PAL incurs negligible performance overhead: e.g., <1% overhead for Apache benchmark and 3~5% overhead for Linux perf benchmark on the latest Mac mini (M1). Our post-validation approach helps us ensure the security invariant required for the safe uses of PA inside the kernel, which also reveals new attack vectors on the iOS kernel. PAL as well as the CFI-protected kernels will be open sourced.

研究の動機と目的

• Linux や FreeBSD などのコンmodity OS に対して、ARM ポインタ認証を用いた正確で実装可能なカーネル内 CFI の欠如に対処する。
• 後知恵攻撃に脆弱な既存の PA ベース CFI 方式の制限を克服し、OS 独立の自動精錬を可能にする。
• 静的検証器を用いて PA ベース CFI の正しさとセキュリティを保証し、コンパイラ最適化の落とし穴やカーネルイメージ内の実装上の欠陥を検出する。
• 高いセキュリティ保証を維持したまま実用的な展開を可能にするため、性能オーバーヘッドを最小限に抑える。
• 体系的な脅威モデル化を通じて、既存の PA ベース保護（例：iOS カーネル）における新たな攻撃ベクトルを特定・分析する。

提案手法

• ARM ポインタ認証（PA）を活用し、実行時に制御フロー転送を認証する署名付き関数ポインタを生成する。
• 文脈アナライザを実装し、カーネル固有のイディオムや設計パターン（例：オブジェクト不変条件、呼び出し文脈）を自動的に推論することで、間接呼び出しのターゲットを精錬し、CFI の精度を向上させる。
• 静的検証器を用い、最終的なカーネルイメージに含まれるすべての PA 署名付きポインタがセキュリティ不変条件を満たしていることを検証する。これにより、早期のポインタ保存や最適化に起因する無効化の問題を検出できる。
• GIMPLE 中間表現（IR）レベルで GCC コンパイラー・パイプラインに CFI 機構を統合し、カーネルソースの変更なしに OS 独立の展開を可能にする。
• カーネル保護に1つの PA キー、ユーザースペースに別の PA キーを割り当て、アプリケーションごとのキー多重化によりキー再利用攻撃を防止する。
• 実行時におけるポスト検証を適用し、生ポインタや認証失敗を検出することで、エッジケースやコンパイラの誤最適化に対する耐性を確保する。

実験結果

リサーチクエスチョン

• RQ1 ARM ポインタ認証を用いた CFI を、Linux や FreeBSD のコンmodity OS カーネルに実装可能かつ正確で効率的なものとするにはどうすればよいか？
• RQ2 コンパイラ最適化や誤用に起因する PA を用いたカーネル内 CFI における新たな攻撃ベクトルは何か？
• RQ3 カーネル設計パターンに基づく自動精錬技術は、手動のインストルメンテーションなしに CFI の精度を著しく向上させられるか？
• RQ4 静的検証器は、実行時チェックでは見えない、PA 保護カーネルイメージ内の微細なセキュリティ欠陥をどの程度検出できるか？
• RQ5 PA ベースのカーネル内 CFI は、実世界のワークロードにどの程度の性能オーバーヘッドを及ぼし、生産環境での実用性は保証できるか？

主な発見

• PAL は、100 以上のターゲットを持つ間接呼び出しの数を、Android CFI の 7.0% から 0.08% にまで削減し、CFI の精度が著しく向上したことを示した。
• Apache ベンチマークでは 1% 未満の性能オーバーヘッド、Linux perf ベンチマークでは 3–5% のオーバーヘッドを記録し、M1 Mac mini での実ハードウェア上でも性能への影響がほとんどないことが示された。
• 静的検証器は最新の iOS カーネルにおいて新たな攻撃ベクトルを発見し、PARTS や Apple の CFI といった既存の PA ベース方式におけるバグも特定した。
• PAL のアプローチは OS 独立であり、Linux や FreeBSD に最小限の工数で適用可能で、自動文脈解析により高精度な CFI を実現できる。
• 静的および実行時検証により厳密な不変条件を強制することで、予めの乗っ取りやブルートフォース攻撃といった一般的な PA 関連攻撃を効果的に防止した。
• PAL は、コンパイラプラグイン、静的検証器、Linux および FreeBSD 向けの CFI 強化カーネルを含め、オープンソース化されており、再現性とさらなる研究を可能にしている。