[論文レビュー] Is Less Really More? Why Reducing Code Reuse Gadget Counts via Software Debloating Doesn't Necessarily Lead to Better Security.

Michael Brown, Santosh Pande|arXiv (Cornell University)|Feb 28, 2019

Security and Verification in Computing参考文献 24被引用数 1

ひとこと要約

この論文は、ソフトウェアのデブローディングによるコード再利用ガジェット数の削減がセキュリティを向上させるという仮定に挑戦し、ガジェット数の大幅な削減が攻撃者のエクスプロイト構築を妨げないどころか、むしろより危険なガジェットを導入する可能性があることを示している。本論文では、静的バイナリ解析ツール「Gadget Set Analyzer」を用いて、実際のセキュリティ向上をより的確に評価できるようにする4つの品質指向の指標——エクスプロイタビリティ、ガジェット効用、ガジェット多様性、エクスプロイト妥当性——を提案する。

ABSTRACT

Nearly all modern software suffers from bloat that negatively impacts its performance and security. To combat this problem, several automated techniques have been proposed to debloat software. A key metric used in many of these works to demonstrate improved security is code reuse gadget count reduction. The use of this metric is based on the prevailing idea that reducing the number of gadgets available in a software package reduces its attack surface and makes mounting a gadget-based code reuse exploit such as return-oriented programming (ROP) more difficult for an attacker. In this paper, we challenge this idea and show through a variety of realistic debloating scenarios the flaws inherent to the gadget count reduction metric. Specifically, we demonstrate that software debloating can achieve high gadget count reduction rates, yet fail to limit an attacker's ability to construct an exploit. Worse yet, in some scenarios high gadget count reduction rates conceal instances in which software debloating makes security worse by introducing new, useful gadgets. To address these issues, we propose a set of four new metrics for measuring security improvements realized through software debloating that are quality-oriented rather than quantity-oriented. We show that these metrics can identify when debloating negatively impacts security and be efficiently calculated using our static binary analysis tool, the Gadget Set Analyzer. Finally, we demonstrate the utility of these metrics in two realistic case studies: iterative debloating and debloater evaluation.

研究の動機と目的

• ソフトウェアのデブローディングにおけるガジェット数削減がセキュリティを向上させるという広く共有されている信念に挑戦すること。
• ガジェット数削減をエクスプロイト耐性の向上の代理指標として用いることの欠陥を特定すること。
• デブローディングによる実際のセキュリティ向上をより的確に反映する、品質指向の新しい指標群を提案すること。
• これらの新しい指標を効率的に計算できる静的バイナリ解析ツール「Gadget Set Analyzer」の開発と評価。
• 実世界のデブローディングシナリオ、特に反復的デブローディングとデブローダー評価において、新しい指標の実用的有用性を示すこと。

提案手法

• ガジェットの数ではなく質を評価する4つの新しい指標——エクスプロイタビリティ、ガジェット効用、ガジェット多様性、エクスプロイト妥当性——を提案する。
• 提案された指標を効率的に計算できる静的バイナリ解析ツール「Gadget Set Analyzer」を設計および実装する。
• 現実的なデブローディングシナリオに指標を適用し、デブローディングがセキュリティを低下させる場合にその検出能力を評価する。
• 指標を用いて反復的デブローディングプロセスをガイドし、ガジェット数削減によって隠蔽されるセキュリティ上の改善が見逃されないよう保証する。
• 従来のガジェット数削減指標と比較して、新しい指標がデブローディングツールや技術の評価においてどのように有効であるかを検証する。

実験結果

リサーチクエスチョン

• RQ1 ガジェット数を削減することは、実際にソフトウェアのデブローディングにおけるエクスプロイト耐性をどの程度向上させるのか？
• RQ2 ガジェット数削減率が高い場合、攻撃者が効果的なコード再利用エクスプロイトを構築する能力を制限できないのはどのような場合か？
• RQ3 デブローディングが、合計ガジェット数が減少しているにもかかわらず、より有用なガジェットを新たに導入し、セキュリティを悪化させる仕組みは何か？
• RQ4 品質指向の指標は、ガジェット数が減少しているにもかかわらず、デブローディングがセキュリティに悪影響を及げる場合を検出できるのか？
• RQ5 提案された指標は、安全で効果的な反復的デブローディングおよびデブローダー評価をガイドするのにどの程度効果的か？

主な発見

• ガジェット数の削減がエクスプロイタビリティを必ずしも低下させない。攻撃者は残存するガジェットを用いて依然として効果的なROPチェーンを構築できる。
• デブローディングは、合計ガジェット数が減少しているにもかかわらず、より有用なガジェットを新たに導入し、エクスプロイタビリティを増加させることがある。
• 提案された指標——エクスプロイタビリティ、ガジェット効用、ガジェット多様性、エクスプロイト妥当性——は、ガジェット数削減だけでは明らかにならない、デブローディングによるセキュリティ低下を検出できる。
• Gadget Set Analyzerにより、新しい指標の計算が効率的に行えるようになり、実世界のデブローディング評価に実用的であることが実証された。
• 事例研究において、従来のガジェット数指標では隠されていたセキュリティの劣化が、新しい指標によって明らかになった。
• 指標により、非安全な削減を特定し、より安全な最適化経路へと導く反復的デブローディングにおける意思決定が改善された。