[논문 리뷰] PTAuth: Temporal Memory Safety via Robust Points-to Authentication

Reza Mirzazade Farkhani, Mansour Ahmadi외 1명|arXiv (Cornell University)|2020. 02. 19.

Security and Verification in Computing참고 문헌 30인용 수 12

한 줄 요약

PTAuth는 ARMv8.3+ 아키텍처에서 포인터 인증 코드(PAC)를 활용해 할당된 힙 메모리의 시간적 메모리 손상(예: use-after-free, double-free, invalid-free 등)을 하드웨어 보조 런타임 시스템을 통해 완전히 탐지한다. 포인터와 객체 ID에 내장된 암호학적 인증 코드(AC)를 통해 모든 역참조 시에 효율적이고 메타데이터 무결성 보장 검사를 수행하며, 26%의 오버헤드(소프트웨어 시뮬레이션된 PAC)로 100% 탐지율을 달성하고, 메모리 오버헤드는 2%에 불과하다.

ABSTRACT

Temporal memory corruptions are commonly exploited software vulnerabilities that can lead to powerful attacks. Despite significant progress made by decades of research on mitigation techniques, existing countermeasures fall short due to either limited coverage or overly high overhead. Furthermore, they require external mechanisms (e.g., spatial memory safety) to protect their metadata. Otherwise, their protection can be bypassed or disabled. To address these limitations, we present robust points-to authentication, a novel runtime scheme for detecting all kinds of temporal memory corruptions. We built a prototype system, called PTAuth, that realizes this scheme on ARM architectures. PTAuth contains a customized compiler for code analysis and instrumentation and a runtime library for performing the points-to authentication as a protected program runs. PTAuth leverages the Pointer Authentication Code (PAC) feature, provided by the ARMv8.3 and later CPUs, which serves as a simple hardware-based encryption primitive. PTAuth uses minimal in-memory metadata and protects its metadata without requiring spatial memory safety. We report our evaluation of PTAuth in terms of security, robustness and performance using 150 vulnerable programs from Juliet test suite and the SPEC CPU2006 benchmarks. PTAuth detects all three categories of heap-based temporal memory corruptions, generates zero false alerts, and slows down program execution by 26% (this number was measured based on software-emulated PAC; it is expected to decrease to 20% when using hardware-based PAC). We also show that PTAuth incurs 2% memory overhead thanks to the efficient use of metadata.

연구 동기 및 목표

• 기존 시간적 메모리 손상 탐지 기법의 한계를 해결하기 위해, 공간적 메모리 안전성에 의존하거나 높은 오버헤드를 유발하거나 커버리지가 제한적인 기법들이 존재함을 인지하고자 한다.
• 외부 공간적 안전성 메커니즘에 의존하지 않고도 힙 기반 시간적 메모리 손상의 모든 유형을 탐지할 수 있는 런타임 시스템을 설계하고자 한다.
• 메타데이터 크기를 최소화하고 성능과 포인터 전파와의 호환성을 고려해 메타데이터 배치를 최적화하고자 한다.
• 하드웨어 보조 포인터 인증 코드(PAC)를 활용해 추가적인 공간적 안전성 없이도 메타데이터 무결성을 보호하고자 한다.
• 실세계 워크로드에서 높은 탐지 정확도를 달성하면서도 성능 및 메모리 오버헤드를 최소화하고자 한다.

제안 방법

• PTAuth는 각 힙 할당 객체에 고유한 ID를 할당하고, 이를 객체의 기본 주소에 저장한다.
• 기밀 키, 객체 ID, 기본 주소를 사용해 암호학적 인증 코드(AC)를 계산하고, ARM의 포인터 인증 코드(PAC) 기능을 통해 포인터의 사용되지 않는 비트에 AC를 내장한다.
• 모든 포인터 역참조 시점에 PTAuth는 AC를 재계산하고 저장된 값과 비교하여 위변조 또는 잘못된 사용 여부를 검증한다.
• 시스템은 코드에 인-line 검사를 삽입하기 위한 커스터마이징된 컴파일러와 AC 생성 및 검증을 관리하기 위한 런타임 라이브러리를 사용한다.
• OS 수준의 패치를 통해 PAC 설정을 조정하여 필요한 포인터 인증 의미 체계를 지원한다.
• 메타데이터의 무결성은 PAC의 하드웨어 수준 서명을 통해 보장되며, 공간적 메모리 안전성에 의존하지 않더라도 위변조되거나 손상된 메타데이터를 탐지할 수 있다.

실험 결과

연구 질문

• RQ1 외부 공간적 메모리 안전성에 의존하지 않고도 런타임 시스템이 힙 기반 시간적 메모리 손상의 모든 형태를 탐지할 수 있는가?
• RQ2 하드웨어 보조 포인터 인증만을 사용해도 높은 탐지 정확도를 달성하면서 최소한의 성능 및 메모리 오버헤드를 유도할 수 있는가?
• RQ3 메타데이터를 어떻게 효율적으로 저장하고 검증할 수 있을까? 이는 공격 표면을 증가시키지 않으면서도 포인터 역참조 검사를 지원하기 위함이다.
• RQ4 포인터와 객체에 내장된 인라인 메타데이터가 손상에 강건하면서도 성능을 유지할 수 있는가?
• RQ5 PAC를 사용해 포인터의 무결성과 정체성을 통합적으로 보호하는 시스템의 실질적 성능 및 메모리 오버헤드는 얼마인가?

주요 결과

• PTAuth는 Juliet 테스트 세트의 150개 취약 프로그램에서 힙 기반 시간적 메모리 손상의 세 가지 유형(사용 후 할당 해제, 중복 할당 해제, 잘못된 할당 해제)을 100% 정확도로 탐지한다.
• 평가 기간 동안 시스템은 거짓 경고나 거짓 부정이 전혀 발생하지 않아 정밀도와 재현율이 완벽함을 입증한다.
• 소프트웨어 시뮬레이션된 PAC를 사용할 경우, PTAuth는 평균 26%의 성능 오버헤드를 유발하며, 하드웨어 기반 PAC를 사용할 경우 이는 20%로 감소할 것으로 예상된다.
• 메모리 오버헤드는 오직 2%에 불과하며, 이는 최소화되고 효율적으로 배치된 메타데이터(객체 ID 및 PAC 태그) 덕분이다.
• PAC를 통해 AC나 ID의 수정 여부가 검증 시점에 탐지되므로, PTAuth의 메타데이터 보호는 위변조에 강건하다.
• 기밀 키가 AC 계산에 사용되므로, 키에 접근하지 못한 공격자는 위조를 시도할 수 없으며, 시스템은 이러한 공격에 저항성이 있다.