[논문 리뷰] Sprobes: Enforcing Kernel Code Integrity on the TrustZone Architecture

Xinyang Ge, Hayawardh Vijayakumar외 1명|arXiv (Cornell University)|2014. 10. 28.

Security and Verification in Computing참고 문헌 18인용 수 74

한 줄 요약

이 논문은 ARM TrustZone 기반 스마트폰에서 특정 커널 명령어에 대해 위조할 수 없는 트랩을 가능하게 함으로써 커널 코드 무결성을 강제하는 새로운 메커니즘인 SPROBES를 소개한다. 다섯 가지 핵심 인variant를 강제함으로써 루트킷이 인스트루멘테이션을 제거하는 것을 방지하며, 이는 루트킷이 존재함을 지속적으로 탐지할 수 있음을 보여주며, Linux 커널 2.6.38을 보호하기 위해 단 12개의 SPROBES로도 충분하다는 것을 입증한다.

ABSTRACT

Many smartphones now deploy conventional operating systems, so the rootkit attacks so prevalent on desktop and server systems are now a threat to smartphones. While researchers have advocated using virtualization to detect and prevent attacks on operating systems (e.g., VM introspection and trusted virtual domains), virtualization is not practical on smartphone systems due to the lack of virtualization support and/or the expense of virtualization. Current smartphone processors do have hardware support for running a protected environment, such as the ARM TrustZone extensions, but such hardware does not control the operating system operations sufficiently to enable VM introspection. In particular, a conventional operating system running with TrustZone still retains full control of memory management, which a rootkit can use to prevent traps on sensitive instructions or memory accesses necessary for effective introspection. In this paper, we present SPROBES, a novel primitive that enables introspection of operating systems running on ARM TrustZone hardware. Using SPROBES, an introspection mechanism protected by TrustZone can instrument individual operating system instructions of its choice, receiving an unforgeable trap whenever any SPROBE is executed. The key challenge in designing SPROBES is preventing the rootkit from removing them, but we identify a set of five invariants whose enforcement is sufficient to restrict rootkits to execute only approved, SPROBE-injected kernel code. We implemented a proof-of-concept version of SPROBES for the ARM Fast Models emulator, demonstrating that in Linux kernel 2.6.38, only 12 SPROBES are sufficient to enforce all five of these invariants. With SPROBES we show that it is possible to leverage the limited TrustZone extensions to limit conventional kernel execution to approved code comprehensively.

연구 동기 및 목표

• 기존 운영 체제를 사용하는 스마트폰에서 증가하는 루트킷 공격에 대응한다.
• 가상화 기반 내부 탐사의 한계를 극복하며, 이는 스마트폰에서 가상화 지원 부족과 높은 오버헤드로 인해 비현실적이기 때문이다.
• ARM TrustZone의 하드웨어 격리 기능을 활용하여 전면 가상화 없이도 커널 코드 무결성을 강제한다.
• 루트킷이 인스트루멘테이션을 제거하는 것을 방지하는 메커니즘을 설계함으로써 악성 코드의 지속적인 탐지 가능성을 확보한다.
• 신뢰할 수 있는 하드웨어에서 커널 실행을 종합적으로 보호하기 위해 최소한의 SPROBES로도 충분한 효율성을 보여준다.

제안 방법

• 신뢰할 수 있는 모니터가 내부 탐사를 위해 개별 커널 명령어를 인스트루멘테이션할 수 있도록 하는 새로운 프리미티브인 SPROBES를 도입한다.
• TrustZone의 보안 월드를 사용하여 커널 실행이 승인된, SPROBE가 삽입된 코드로만 제한되는 다섯 가지 인variant를 강제한다.
• 정상 월드 커널이 SPROBE 실행을 감지하고 되돌릴 수 없도록 하여 트랩 생성이 위조 불가능하도록 보장한다.
• Linux 커널 2.6.38을 대상으로 ARM Fast Models 에뮬레이터에서 개념 증명을 구현한다.
• SPROBE를 제거하거나 우회하려는 모든 시도가 다섯 가지 인variant 중 적어도 하나를 위반하도록 SPROBE 메커니즘을 설계한다.
• 하드웨어 기반 메모리 격리 및 보안 예외 처리를 사용하여 악성 커널이 SPROBE 상태를 조작하는 것을 방지한다.

실험 결과

연구 질문

• RQ1 제한된 하드웨어 가상화 지원을 가진 스마트폰에서 커널 코드 무결성을 강제할 수 있는가?
• RQ2 전면 가상화 없이 TrustZone의 신뢰할 수 있는 모니터가 루트킷이 커널 코드를 변조하는 것을 탐지하고 방지할 수 있는가?
• RQ3 루트킷이 SPROBE 인스트루멘테이션을 제거하거나 우회할 수 없도록 보장하기 위해 필요한 최소한의 인variant 집합은 무엇인가?
• RQ4 실제 커널에서 최소한의 SPROBES로도 종합적인 커널 내부 탐사를 달성할 수 있는가?
• RQ5 SPROBES는 모바일 플랫폼에서 실제로 구현 가능한 정도로 효율적으로 작동할 수 있는가?

주요 결과

• SPROBES는 선택된 커널 명령어에 대해 위조할 수 없는 트랩을 가능하게 함으로써 ARM TrustZone에서 커널 코드 무결성을 성공적으로 강제한다.
• Linux 커널 2.6.38에서 다섯 가지 인variant를 모두 강제하기 위해 단 12개의 SPROBES만으로도 충분하며, 이는 매우 높은 효율성을 보여준다.
• 다섯 가지 인variant는 함께 작용하여 루트킷이 SPROBE를 제거하거나 우회하는 것을 방지하며, 지속적인 내부 탐사 기능을 보장한다.
• ARM Fast Models 에뮬레이터에서의 개념 증명 구현을 통해 SPROBES가 실제 커널에서 실현 가능함을 확인한다.
• 전면 가상화 없이도 효과적인 내부 탐사를 가능하게 하여 SPROBES는 모바일 시스템에서 실용적임을 입증한다.