[論文レビュー] PTAuth: Temporal Memory Safety via Robust Points-to Authentication

Reza Mirzazade Farkhani, Mansour Ahmadi+1 more|arXiv (Cornell University)|Feb 19, 2020

Security and Verification in Computing参考文献 30被引用数 12

ひとこと要約

PTAuth は、ARMv8.3+ アーキテクチャ上でポインタ認証コード（PAC）を用いて、ヒープベースの時系列的メモリ破損（使用後フリー、ダブルフリー、無効フリーなど）をすべて検出するハードウェア支援ランタイムシステムである。ポインタおよびメモリ内のオブジェクトIDに暗号的認証コード（AC）を組み込み、各間接参照時に効率的でメタデータの整合性を保証する検査を実行することで、100%の検出率を達成し、ソフトウェアエミュレートされたPACを用いる場合でも26%のオーバーヘッド、2%のメモリオーバーヘッドに抑えている。

ABSTRACT

Temporal memory corruptions are commonly exploited software vulnerabilities that can lead to powerful attacks. Despite significant progress made by decades of research on mitigation techniques, existing countermeasures fall short due to either limited coverage or overly high overhead. Furthermore, they require external mechanisms (e.g., spatial memory safety) to protect their metadata. Otherwise, their protection can be bypassed or disabled. To address these limitations, we present robust points-to authentication, a novel runtime scheme for detecting all kinds of temporal memory corruptions. We built a prototype system, called PTAuth, that realizes this scheme on ARM architectures. PTAuth contains a customized compiler for code analysis and instrumentation and a runtime library for performing the points-to authentication as a protected program runs. PTAuth leverages the Pointer Authentication Code (PAC) feature, provided by the ARMv8.3 and later CPUs, which serves as a simple hardware-based encryption primitive. PTAuth uses minimal in-memory metadata and protects its metadata without requiring spatial memory safety. We report our evaluation of PTAuth in terms of security, robustness and performance using 150 vulnerable programs from Juliet test suite and the SPEC CPU2006 benchmarks. PTAuth detects all three categories of heap-based temporal memory corruptions, generates zero false alerts, and slows down program execution by 26% (this number was measured based on software-emulated PAC; it is expected to decrease to 20% when using hardware-based PAC). We also show that PTAuth incurs 2% memory overhead thanks to the efficient use of metadata.

研究の動機と目的

• 既存の時系列的メモリ破損検出技術の限界に対処する。これらの技術はしばしば空間的メモリ安全を要し、高いオーバーヘッドを伴い、カバレッジが限定的である。
• 外部の空間的安全性メカニズムに依存せずに、ヒープベースの時系列的メモリ破損のすべてのカテゴリを検出できるランタイムシステムを設計すること。
• メタデータのサイズを最小限に抑え、パフォーマンスとポインタプロパゲーションとの互換性を最適化するため、メタデータの配置を最適化すること。
• ハードウェア支援のポインタ認証コード（PAC）を活用し、追加の空間的安全性を要せず、メタデータの整合性を保護すること。
• 実世界のワークロードにおいて、高い検出精度と低いパフォーマンスおよびメモリオーバーヘッドを実現すること。

提案手法

• PTAuth は、ヒープに割り当てられた各オブジェクトに一意のIDを割り当て、そのオブジェクトのベースアドレスに格納する。
• 秘密鍵、オブジェクトID、およびベースアドレスを用いて暗号的認証コード（AC）を計算し、ARMのポインタ認証コード（PAC）機能を介して、ポインタの未使用ビットにACを埋め込む。
• 各ポインタ間接参照の度に、PTAuth はACを再計算し、格納された値と照合することで改ざんや不正な使用を検出する。
• システムは、コードにインラインチェックを挿入するためのカスタムコンパイラと、ACの生成および検証を管理するランタイムライブラリを使用する。
• OSレベルのパッチを適用して、必要なポインタ認証のセマンティクスをサポートするPAC設定を構成する。
• PACのハードウェアレベルの署名により、メタデータの整合性が保証され、空間的メモリ安全に依存せずに、改ざんや破損したメタデータを検出可能となる。

実験結果

リサーチクエスチョン

• RQ1 外部の空間的メモリ安全を要さずに、ヒープベースの時系列的メモリ破損のすべての形態を検出できるランタイムシステムは可能か？
• RQ2 ハードウェア支援のポインタ認証のみを用いて、高い検出精度と最小限のパフォーマンスおよびメモリオーバーヘッドを達成できるか？
• RQ3 攻撃面を拡大せずに、ポインタ間接参照の検査を可能にするために、メタデータを効率的に格納および検証する方法は何か？
• RQ4 ポインタおよびオブジェクトに埋め込まれたインラインメタデータを、破損に対してレジリientに保ちつつ、パフォーマンスを維持できるか？
• RQ5 PACを用いてポインタの整合性およびIDを統合的に保護するシステムの実用的パフォーマンスおよびメモリオーバーヘッドはどの程度か？

主な発見

• PTAuth は、ジュリエットテストスイートの150の脆弱なプログラムにおいて、使用後フリー、ダブルフリー、無効フリーの3つのカテゴリのヒープベースの時系列的メモリ破損を100%の正確さで検出した。
• 評価の過程で、偽陽性または偽陰性はゼロであり、検出精度と再現率の両方が完璧であることが示された。
• ソフトウェアエミュレートされたPACを用いる場合、PTAuth は平均して26%のパフォーマンスオーバーヘッドを発生させるが、ネイティブハードウェアベースのPACを採用すれば20%に低下すると予想される。
• メタデータ（オブジェクトIDおよびPACタグ）が最小限かつ効率的に配置されているため、メモリオーバーヘッドはわずか2%にとどまる。
• PACにより、ACやIDの改ざんが検証段階で検出されるため、PTAuth のメタデータ保護は改ざんに対して堅牢である。
• 秘密鍵がAC計算に使用されているため、鍵にアクセスできない状況では偽造が不可能であり、メタデータ保護を回避しようとする攻撃に対してもレジリエンスを示す。