[논문 리뷰] Downgrade Attack on TrustZone

Yue Chen, Yulong Zhang외 2명|arXiv (Cornell University)|2017. 07. 17.

Security and Verification in Computing참고 문헌 6인용 수 23

한 줄 요약

이 논문은 ARM TrustZone에 대한 다운그레이드 공격을 제시하며, 소프트웨어 버전 간에 재사용된 검증 키와 부족한 롤백 보호 기능을 악용한다. 신뢰할 수 있는 애플리케이션 또는 TrustZone OS를 취약하고 오래된 버전으로 다운그레이드함으로써 공격자는 보안 메커니즘을 우회할 수 있으며, 이는 구글, 삼성, 화웨이의 기기에서 입증되었으며, 퀄컴의 QSEE에 대한 작동 가능한 악성 코드도 포함되어 있다.

ABSTRACT

Security-critical tasks require proper isolation from untrusted software. Chip manufacturers design and include trusted execution environments (TEEs) in their processors to secure these tasks. The integrity and security of the software in the trusted environment depend on the verification process of the system. We find a form of attack that can be performed on the current implementations of the widely deployed ARM TrustZone technology. The attack exploits the fact that the trustlet (TA) or TrustZone OS loading verification procedure may use the same verification key and may lack proper rollback prevention across versions. If an exploit works on an out-of-date version, but the vulnerability is patched on the latest version, an attacker can still use the same exploit to compromise the latest system by downgrading the software to an older and exploitable version. We did experiments on popular devices on the market including those from Google, Samsung and Huawei, and found that all of them have the risk of being attacked. Also, we show a real-world example to exploit Qualcomm's QSEE. In addition, in order to find out which device images share the same verification key, pattern matching schemes for different vendors are analyzed and summarized.

연구 동기 및 목표

• 재사용된 검증 키와 부적절한 롤백 방지 기능이 TrustZone 구현에 미치는 보안 위험을 조사하는 것.
• 공격자가 이전 버전의 신뢰할 수 있는 애플리케이션 또는 TrustZone OS의 알려진 취약점을 악용하기 위해 해당 버전으로 다운그레이드할 수 있음을 입증하는 것.
• 다양한 기기 제조사 간에 공통된 검증 키 패턴을 분석하여 취약성의 영향 범위를 평가하는 것.
• 실제 사례 공격을 퀄컴의 QSEE에 적용하여 다운그레이드 공격의 실현 가능성을 검증하는 것.
• 후행 보안을 해치는 백워드 호환성의 문제로 인한 TEE 설계의 체계적 위험을 인식시키는 것.

제안 방법

• 연구진은 여러 상용 기기에서 TrustZone OS와 신뢰할 수 있는 애플리케이션(TA) 로딩 프로세스를 역공학적으로 분석했다.
• 여러 제조사의 다양한 기기 이미지가 신뢰할 수 있는 소프트웨어를 서명하는 데 동일한 검증 키를 사용하고 있음을 확인했다.
• 이들은 바이너리 패턴과 서명 메타데이터를 분석하여, 다양한 기기 모델과 제조사 간에 공유되는 키를 탐지할 수 있는 패턴 매칭 기법을 개발했다.
• 팀은 시스템이 오래된, 취약한 버전의 TA 또는 TrustZone OS를 로드하도록 속임으로써 다운그레이드 공격을 구축했다.
• 기존의 원격 공격이 알려진 오래된 버전에 대해 작동함을 이용해, 퀄컴의 QSEE에서 이 취약성을 성공적으로 악용했다.
• 이 공격은 구글, 삼성, 화웨이의 기기에서 검증되었으며, 이는 결함의 광범위한 영향을 확인시켰다.

실험 결과

연구 질문

• RQ1 다른 소프트웨어 버전 간에 재사용된 검증 키를 악용하여 ARM TrustZone에 다운그레이드 공격을 수행할 수 있는가?
• RQ2 기존 TrustZone 구현에서 적절한 롤백 보호 메커니즘이 얼마나 부족한가?
• RQ3 주요 제조사의 기기 이미지 중에서 동일한 검증 키를 공유하는 것은 어떤 것들이며, 이로 인해 대규모 악용이 가능한가?
• RQ4 실제 생산 환경의 TEE, 예를 들어 퀄컴의 QSEE에 대해 실세계 다운그레이드 공격을 수행하는 것이 가능한가?
• RQ5 상용으로 배포된 ARM TrustZone 기반 시스템 전반에 걸쳐 다운그레이드 공격의 위험은 얼마나 광범위한가?

주요 결과

• Google, 삼성, 화웨이의 모든 테스트 기기들이 공유된 검증 키와 약한 롤백 보호 기능으로 인해 다운그레이드 공격에 취약하다.
• 퀄컴의 QSEE에 대해 작동 가능한 개념 증명 공격이 성공적으로 구현되었으며, 오래된 버전의 알려진 취약점을 악용했다.
• 패턴 매칭 분석을 통해 다양한 제조사의 여러 기기 이미지가 동일한 검증 키를 사용하고 있음을 확인하여 체계적인 설계 결함을 드러냈다.
• 원래 취약점에 대한 패치가 발표된 후에도, 시스템이 취약한 버전으로의 다운그레이드를 允許하는 한 공격은 여전히 유효하다.
• 버전별 키 기반 설계 부재와 적절한 롤백 방지 조치의 결여는 TEE 보안에 치명적인 백도어를 만들고 있음을 연구가 확인했다.
• 이 취약성은 광범위한 기기 영향을 미쳐, 이 문제가 국소적인 문제일 뿐 아니라 TrustZone 배포에서 널리 퍼진 아키텍처적 약점임을 시사한다.