[论文解读] Downgrade Attack on TrustZone

Yue Chen, Yulong Zhang+2 more|arXiv (Cornell University)|Jul 17, 2017

Security and Verification in Computing参考文献 6被引用 23

一句话总结

本文提出了一种针对ARM TrustZone的降级攻击，利用了不同软件版本间重复使用的验证密钥以及不足的回滚保护机制。通过将可信应用或TrustZone操作系统降级至存在漏洞的旧版本，攻击者可绕过安全机制，该攻击已在谷歌、三星和华为的设备上得到验证，包括成功利用高通QSEE的PoC利用。

ABSTRACT

Security-critical tasks require proper isolation from untrusted software. Chip manufacturers design and include trusted execution environments (TEEs) in their processors to secure these tasks. The integrity and security of the software in the trusted environment depend on the verification process of the system. We find a form of attack that can be performed on the current implementations of the widely deployed ARM TrustZone technology. The attack exploits the fact that the trustlet (TA) or TrustZone OS loading verification procedure may use the same verification key and may lack proper rollback prevention across versions. If an exploit works on an out-of-date version, but the vulnerability is patched on the latest version, an attacker can still use the same exploit to compromise the latest system by downgrading the software to an older and exploitable version. We did experiments on popular devices on the market including those from Google, Samsung and Huawei, and found that all of them have the risk of being attacked. Also, we show a real-world example to exploit Qualcomm's QSEE. In addition, in order to find out which device images share the same verification key, pattern matching schemes for different vendors are analyzed and summarized.

研究动机与目标

• 调查在TrustZone实现中因重复使用验证密钥和缺乏适当的回滚预防机制而带来的安全风险。
• 证明攻击者可通过降级至存在已知漏洞的可信应用或TrustZone操作系统旧版本，利用这些已知漏洞。
• 分析并识别不同设备厂商之间常见的验证密钥模式，以评估该漏洞的影响范围。
• 针对高通QSEE提供一个真实世界的概念验证攻击，以验证降级攻击的可行性。
• 提高对TEE设计中系统性风险的认识，即后向兼容性削弱了前向安全性。

提出的方法

• 研究人员逆向分析了多个商用设备上的TrustZone操作系统及可信应用（TA）加载流程。
• 他们发现多个厂商的设备镜像在签名可信软件时使用了相同的验证密钥。
• 通过分析二进制模式和签名元数据，开发了一种模式匹配方案，用于检测不同设备型号和厂商之间的共享密钥。
• 通过欺骗系统加载旧版本的TA或TrustZone操作系统，构建了降级攻击。
• 利用已知的远程漏洞成功在高通QSEE上利用了该漏洞。
• 该攻击在谷歌、三星和华为的设备上均得到验证，确认了该缺陷的广泛性。

实验结果

研究问题

• RQ1 能否通过在不同软件版本间复用验证密钥，在ARM TrustZone上实施降级攻击？
• RQ2 现有TrustZone实现中，缺乏适当回滚保护机制的程度如何？
• RQ3 哪些主要厂商的设备镜像使用了相同的验证密钥，从而可实现大规模利用？
• RQ4 在生产级TEE（如高通QSEE）上实施真实世界的降级攻击是否可行？
• RQ5 在商业部署的基于ARM TrustZone的系统中，降级攻击的风险有多广泛？

主要发现

• 所有测试的谷歌、三星和华为设备均因共享验证密钥和薄弱的回滚保护机制而易受降级攻击影响。
• 已在高通QSEE上成功演示了概念验证攻击，成功利用了旧版本中的已知漏洞。
• 模式匹配分析显示，多个不同厂商的设备镜像使用了相同的验证密钥，表明存在系统性设计缺陷。
• 即使原始漏洞的补丁已发布，只要系统允许降级至易受攻击的版本，该攻击仍具有效性。
• 本研究证实，缺乏基于版本的密钥机制和适当的回滚预防机制，会在TEE安全中形成关键后门。
• 该漏洞影响广泛设备，表明问题并非孤立存在，而是TrustZone部署中普遍存在的架构性弱点。