G.O.S.S.I.P 阅读推荐 2024-05-06 Pythia

熟悉计算机安全的读者肯定对CFI也就是control flow integrity不陌生,当然我们知道,实现CFI是一件很困难的事情,特别是要实现既准确又完备的CFI,恐怕是有点理想化。那么,和CFI相比,DFI也就是data flow integrity可能是更难去保证的一种安全防护,因为数据本身就很难去判定其性质。进入五月,我们从刚刚结束的ASPLOS 2024上选择了一篇研究论文Pythia: Compiler-Guided Defense Against Non-Control Data Attacks推荐给大家,来看看研究人员对data only attack这种安全威胁的相关防护研究进展:

论文首先举了一个例子,介绍了non-control data attack,虽然作者有点懒,拿了他们在2006年MICRO上的论文中的例子来重用,但是确实一看就能理解:

一般来说,大家认为non-control data attack的特点在于通过内存破坏漏洞去控制那些用来控制分支跳转的变量,进而让程序执行进入到如上图所示的特权分支。本文的作者认为,实际上non-control data attack还有更多的模式,例如下面的这个例子(这个例子看起来有点生硬):

而针对这些威胁,本文的主要贡献包括:

  1. 利用ARM pointer authentication(PA)机制,实现了名为Pythia的系统,通过编译器辅助分析,消除一部分的dispatcher function(也就是类似JIT那种可以动态决定下一步执行挑战的函数),另一部分则用PA来进行指针保护;

  2. Pythia系统实现了一套保守的防护策略,用来对抗control-flow bending attack(2015年的USENIX Security上的论文 Control-flow bending: On the eff ectiveness of control-flow integrity 提出的一类攻击)

  3. 通过减少PA的使用,提升了防护的效率(PA虽好,也不能滥用哦)

让我们来看看具体的实现,首先这个workflow看上去四平八稳,基本上就是把代码中的变量分成stack变量和heap变量两类来考虑,对于stack上的变量就给它前后加上canary(随机填充)来保护,对于heap上的变量就单独弄一个分配器。这些隔离防护的手段我们国内的读者最不陌生了(手动狗头),不过我们也都晓得,最困难的其实不是isolation而是如何识别哪些变量需要保护,这部分是怎么做的呢?

在这里,作者引用了他们在2023年OOPSLA上的一篇论文 Beacons: An end-to-end compiler framework for predicting and utilizing dynamic loop characteristics 中的技术,来帮忙寻找程序中所有的 branch sub-variable 也就是能够直接或者间接控制后续分支跳转的变量。这里作者还搞了一个branch decomposition algorithm,不过这部分比较枯燥,我们就不再过多介绍了。

再来说一下Pythia的所谓“保守”的防护策略,其实就是把vulnerable的变量全部都挪到同一个地方去(哈哈哈我们中国读者又熟悉了),如下图所示:stack上的变量里面,ab都放在stack的高地址(底部),而heap变量里面的p就放在一个单独的堆上。

在论文的4.4章,作者还很数学style地给出了一些估计对抗攻击的复杂度估计,然后他们介绍说这个项目是基于LLVM改的,大概增删改了3420行代码,然后用完整的使用PA进行防护的模式(Compelete Pointer Authentication,CPA)和Pythia系统进行性能对比:

由于Pythia系统的主要特点在于其减少了对敏感变量的标记(也就是利用他们那个branch decomposition algorithm进行了更好的分析),所以相对CPA的47.88%的平均开销(在SPEC 2017 Benchmarks和Nginx上进行测试),Pythia系统的平均开销下降到了13.07%

从下图可以更直观地看出Pythia系统的优势——对PA的克制使用:下图左是CPA vs Pythia 使用PA的对比,下图右是Pythia系统减少使用PA指令的数量分析。

总之,这篇论文读下来,感觉就和在安全会议上发表的论文感觉很不一样,虽然啥要素都有,但是读起来就有一种“缝合怪”的感觉,很难让我们这种“阅篇无数”的老读者感觉到兴奋,作者也没有公开代码,所以就这样吧~


论文:https://dl.acm.org/doi/10.1145/3620666.3651343 (虽然付费墙,目前还是开放获取)


免责声明:文章内容不代表本站立场,本站不对其内容的真实性、完整性、准确性给予任何担保、暗示和承诺,仅供读者参考,文章版权归原作者所有。如本文内容影响到您的合法权益(内容、图片等),请及时联系本站,我们会及时删除处理。查看原文

为您推荐