基於控制流證明證據的驗證與漏洞修復

المفاهيم الأساسية

控制流證明 (CFA) 能夠有效地檢測出傳統遠端驗證無法識別的執行時攻擊，但前提是驗證方 (Vrf) 能夠有效地分析收到的證據並修復漏洞。

الملخص

基於控制流證明證據的驗證與漏洞修復

這篇研究論文探討了控制流證明 (CFA) 在嵌入式系統安全中的應用。CFA 作為一種遠端運行時驗證方法，能夠提供比傳統遠端驗證 (RA) 更精確的執行證據，從而檢測出傳統 RA 無法識別的運行時攻擊，例如控制流劫持。

現有 CFA 技術的局限性

儘管 CFA 具備強大的潛力，但現有研究大多集中在如何安全地設計和實現證明方 (Prv) 的信任根 (RoT)，而忽略了驗證方 (Vrf) 在整個安全服務中的作用。具體來說，現有 CFA 技術缺乏對 Vrf 如何有效分析接收到的證據並修復漏洞的深入研究。

本文貢獻

為了解決上述問題，本文提出了一種基於 CFA 證據的安全分析和二進制修復引擎，稱為 SABRE。SABRE 的主要貢獻包括：

1. 分析和分類現有 CFA RoT 生成的運行時證據類型： 本文將現有 CFA 證據分為三種類型：基於哈希的證據 (E1)、逐字記錄的證據 (E2) 和混合證據 (E3)，並詳細分析了它們在支持 Vrf 遠端檢測和修復漏洞方面的優缺點。
2. 提出 SABRE： SABRE 結合了二進制分析和 CFA 運行時證據，能夠在沒有源代碼的情況下自動定位和修補緩衝區溢出和釋放後使用漏洞。
3. 開發 SABRE 原型： 本文開發了一個功能齊全的開源 SABRE 原型，支持 TI MSP430 和 ARM Cortex-M MCU 系列的二進制文件。該原型還與現有的基於可信執行環境 (TEE) 和定制硬件的開源運行時證明 RoT 生成的運行時證據直接兼容。

SABRE 工作流程

SABRE 的工作流程包括五個內部模塊：

1. 靜態分析： 分析應用程序二進制文件 (App.elf) 並生成控制流圖 (CFG)。
2. 路徑驗證器： 根據 CFG 和影子堆棧 (SS) 驗證 CFLog 是否構成有效的控制流路徑。
3. 漏洞定位器： 定位導致控制流攻擊的漏洞根源，例如緩衝區溢出或釋放後使用漏洞。
4. 補丁生成器： 根據檢測到的漏洞類型生成二進制補丁。
5. 補丁驗證器： 驗證生成的補丁是否有效。

結論

本文的研究表明，逐字記錄的 CFA 證據 (E2) 最能支持 Vrf 基於 CFLog 進行審計和漏洞根源分析。SABRE 作為一個基於 E2 證據的案例研究，展示了 Vrf 如何在沒有源代碼的情況下利用 CFA 證據分析攻擊行為、定位漏洞根源並自動生成二進制補丁。

الإحصائيات

اقتباسات

الرؤى الأساسية المستخلصة من

On the Verification of Control Flow Attestation Evidence

by Adam Caulfie... في arxiv.org 11-19-2024

https://arxiv.org/pdf/2411.10855.pdf

استفسارات أعمق

除了緩衝區溢出和釋放後使用漏洞之外，SABRE 還可以應用於哪些其他類型的漏洞？

SABRE 的核心功能是利用控制流日誌 (CFLog) 來識別控制流攻擊，並分析其根本原因。 雖然論文中主要以緩衝區溢出和釋放後使用漏洞為例，但理論上，任何可以導致控制流劫持的漏洞，只要其攻擊行為會被記錄在 CFLog 中，SABRE 都可以被用於分析和修補。
以下是一些 SABRE 可能適用的其他漏洞類型：

格式化字串漏洞 (Format String Vulnerability): 攻擊者可以利用格式化字串漏洞，修改程式碼執行流程，例如將惡意程式碼地址寫入到函數指標中。
整數溢出漏洞 (Integer Overflow Vulnerability): 整數溢出可能導致緩衝區分配錯誤，進而引發類似緩衝區溢出的攻擊效果，SABRE 可以用於分析此類型的漏洞。
類型混淆漏洞 (Type Confusion Vulnerability): 類型混淆可能導致程式碼以錯誤的方式使用數據，進而導致控制流劫持，SABRE 可以分析 CFLog 中的異常數據流，找出此類型的漏洞。
需要注意的是，SABRE 的有效性取決於 CFLog 的完整性和準確性。 如果攻擊者可以篡改 CFLog 或隱藏其攻擊行為，SABRE 的分析結果可能會不準確。

如果攻擊者採用更複雜的技術來隱藏其攻擊行為，例如使用代碼混淆或反調試技術，SABRE 是否仍然有效？

如果攻擊者使用代碼混淆或反調試技術，SABRE 的有效性會受到一定程度的影響。

代碼混淆 (Code Obfuscation): 代碼混淆會增加 SABRE 進行靜態分析和符號執行時的難度，進而影響其定位漏洞根源和生成補丁的效率。 然而，由於 SABRE 主要依賴於運行時收集的 CFLog 進行分析，只要攻擊者的行為觸發了控制流的異常，SABRE 仍然可以檢測到攻擊的發生。
反調試技術 (Anti-Debugging Techniques): 某些反調試技術可能會干擾 SABRE 的動態分析過程，例如檢測到調試器存在時改變程式碼行為。 然而，SABRE 的核心功能是分析 CFLog，而非直接與目標程式互動，因此反調試技術對其影響相對較小。
為了應對這些挑戰，可以考慮以下改進方向：

增強 SABRE 的靜態分析能力： 例如，可以引入更先進的代碼反混淆技術，提高 SABRE 在處理混淆代碼時的效率。
結合其他運行時信息進行分析： 除了 CFLog 之外，還可以收集其他運行時信息，例如内存访问记录、系统调用等，以便更全面地分析攻擊者的行為。
使用硬件辅助的分析方法： 例如，可以利用處理器提供的硬件调试功能，更精確地監控程式的執行流程，減少反調試技術的影響。

如何在不影響嵌入式系統性能的情況下，將 SABRE 集成到現有的 CFA 架構中？

將 SABRE 整合到現有 CFA 架構中需要考慮其對嵌入式系統性能的影響。 論文中提到 SABRE 主要依賴於完整的控制流日誌 (CFLog)，而收集和處理這些日誌會帶來一定的性能開銷。
以下是一些可以減少 SABRE 性能影響的方案：

選擇性地啟用 SABRE 功能： 可以根據實際需求，選擇性地啟用 SABRE 的分析和修補功能。 例如，只在系統檢測到異常行為時才啟用 SABRE，可以最大程度地減少其對正常運行時的影響。
優化 SABRE 的算法和數據結構： 可以通過優化 SABRE 的算法和數據結構，例如使用更高效的搜索算法、壓縮 CFLog 的大小等，來降低其資源消耗。
利用硬件加速： 可以考慮使用硬件加速的方式來提高 SABRE 的效率，例如使用專用的硬件模組來收集和處理 CFLog，或使用 FPGA 來加速符號執行過程。
分佈式部署： 可以將 SABRE 的部分功能部署到更强大的後端伺服器上，例如將複雜的分析和修補任務交由伺服器處理，減輕嵌入式設備的負擔。
總之，在不影響嵌入式系統性能的情況下整合 SABRE 需要綜合考慮多種因素，並根據具體的應用場景選擇合适的方案。