[论文解读] Heckler: Breaking Confidential VMs with Malicious Interrupts

Benedict Schlüter, Supraja Sridhara+3 more|arXiv (Cornell University)|Apr 4, 2024

Network Security and Intrusion Detection被引用 7

一句话总结

Heckler 展示了一种基于软件的攻击，其中具备特权的虚拟化监控程序注入恶意中断到 AMD SEV-SNP 和 Intel TDX 的机密 VM，以更改来宾寄存器状态、破坏机密性与完整性，绕过 OpenSSH 和 sudo 的认证，并干扰某些应用。

ABSTRACT

Hardware-based Trusted execution environments (TEEs) offer an isolation granularity of virtual machine abstraction. They provide confidential VMs (CVMs) that host security-sensitive code and data. AMD SEV-SNP and Intel TDX enable CVMs and are now available on popular cloud platforms. The untrusted hypervisor in these settings is in control of several resource management and configuration tasks, including interrupts. We present Heckler, a new attack wherein the hypervisor injects malicious non-timer interrupts to break the confidentiality and integrity of CVMs. Our insight is to use the interrupt handlers that have global effects, such that we can manipulate a CVM's register states to change the data and control flow. With AMD SEV-SNP and Intel TDX, we demonstrate Heckler on OpenSSH and sudo to bypass authentication. On AMD SEV-SNP we break execution integrity of C, Java, and Julia applications that perform statistical and text analysis. We explain the gaps in current defenses and outline guidelines for future defenses.

研究动机与目标

• 通过强调在 CVMs 中由 hypervisor 控制的中断接口，推动对受信计算边界的重新评估。
• 证明非定时中断也能触发明确的效应处理程序以修改 CVM 状态和程序流程。
• 在真实 TEEs 上展示实际利用，包括绕过认证和破坏数据分析结果。
• 识别当前防御中的空白点并提出针对 CVMs 的恶意中断防御指南。

提出的方法

• 分析 hypervisor 将中断注入 AMD SEV-SNP 与 Intel TDX CVMs 的能力。
• 识别由中断触发的明确效应处理程序（gadgets），如 int 0x80 和 SIGFPE 等信号。
• 在 CVMs 内对中断映射到用户态处理程序和内核系统调用进行实现与表征。
• 开发端到端的利用情境，展示绕过 OpenSSH 与 sudo 的认证。
• 提出内核补丁和防御指南，以减轻所观测的攻击。

实验结果

研究问题

• RQ1 超 Hypervisor 能否在 SEV-SNP 与 TDX 的 CVMs 中注入中断并在用户态应用中引发显式效果？
• RQ2 在常见的 CVM-hosted 服务中存在哪些具体的中断 gadgets（例如 OpenSSH、sudo、启用 SIGFPE 的工作负载）？
• RQ3 这些 gadgets 如何被串联以改变机密 VM 内的数据和控制流？
• RQ4 针对恶意中断的防御措施有哪些，当前的 SEV-SNP/TDX 保护在哪些方面不足？
• RQ5 在不牺牲 TEE 性能的前提下，可以采取哪些实际步骤来缓解 Heckler？

主要发现

• 如 int 0x80 这样的中断会被传递给 CVMs，并能改变来宾寄存器状态，从而使未授权的系统调用成为可能。
• 恶意中断可以通过改变关键例程中的返回值来绕过 OpenSSH 身份验证和 sudo。
• 显式效应处理程序（SIGFPE、其他信号）能够在 Java、Julia 和 C 工作负载中修改应用状态和数据流。
• Heckler 的 gadgets 存在于常见服务中；例如，int 0x80 能触发登录绕过，SIGFPE 处理程序可以影响统计和文本分析结果。
• AMD SEV-SNP 与 Intel TDX 暴露的中断路径可以被武器化，暴露当前防御的空隙。
• 内核补丁可以缓解特定 gadgets（如 SEV-SNP/TDX 上的 int 0x80），但需要更广泛的保护措施。