Apple M1 CPUの脆弱性「PACMAN」について解説する

第２０回 初心者のためのセキュリティ勉強会 (https://sfb.connpass.com/event/249919/) での発表資料です。

Transcript

1. Apple M1 CPUの脆弱性 「PACMAN」について解説する kuzushiki 第２０回 初心者のためのセキュリティ勉強会 kuzu7shiki
2. 発表内容 Apple M1 CPU の脆弱性「PACMAN」の詳細が 6/9 に公開された PACMAN: Attacking ARM Pointer Authentication with Speculative Execution https://pacmanattack.com/ 面白そうだったので調べてみることに 第２０回 初心者のためのセキュリティ勉強会 kuzu7shiki 2 / 13
3. PACMAN ってなに？ Apple M1 CPU の Pointer Authentication を回避することができる新しい攻撃手法 PACMAN は ソフトウェア攻撃とハードウェア攻撃の中間 に位置する画期的な攻撃とのこと 第２０回 初心者のためのセキュリティ勉強会 kuzu7shiki 3 / 13
4. M1 CPU 使ってるから心配なんだけど ソフトウェアのアップデートをちゃんとしているなら大丈夫！ あくまで数あるセキュリティ機構のうち Pointer Authentication という機能をバイパスできるだけ Q. M2 CPU 買えば大丈夫？ A. 「M2 チップで PACMAN が可能となるかどうかはまだ確認されていない」とのことなので、不安な方は購入を待つと良いかも… 第２０回 初心者のためのセキュリティ勉強会 kuzu7shiki APPLE M1 チップのポインタ認証を迂回する攻撃「PACMAN」 | スラド IT から引用 4 / 13
5. Pointer Authentication って何？ ポインタの先頭部分に Pointer Authentication Code (PAC) と呼ばれるハッシュを付与し、検証できるようにする仕組み メモリ破壊の脆弱性（バッファオーバーフローなど）により、ポインタが書き換えられ不正な命令を実行されるのを防ぐ M1 独自の機能というわけではなく、ARM, Qualcomm, Samsung などのチップメーカーも今後対応予定 第２０回 初心者のためのセキュリティ勉強会 kuzu7shiki 5 / 13
6. どうやってバイパスするの？ (1 / 3) 投機実行を悪用したサイドチャネル攻撃 投機実行とは？ 標準的な CPU は順番通りに命令を実行 命令に使うデータを読み込むまで待機 <- この時間がもったいない！ データを読み込むまでの間にもできることをしよう、というスタンス 例えば下記のケースでは yes() と no() を両方実行しておき、使わないほうは破棄する <- ここが大事 第２０回 初心者のためのセキュリティ勉強会 kuzu7shiki ` ` ` ` 1 if (cond): 2 yes() 3 else: 4 no() 6 / 13
7. どうやってバイパスするの？ (2 / 3) 破棄されるほうの分岐で PAC の検証を行う 通常、PAC の検証に失敗すると例外となりプログラムがクラッシュしてしまう -> 投機実行の裏で行った場合、「例外となる」という結果が破棄されるため、クラッシュさせずに続行できる でも、破棄されるのに PAC の検証に成功したかどうやって判定するの？ 第２０回 初心者のためのセキュリティ勉強会 kuzu7shiki 7 / 13
8. どうやってバイパスするの？ (3 / 3) サイドチャネル攻撃を行う サイドチャネル攻撃とは？ コンピュータの物理的な特性を外部から観察あるいは測定することで、内部の情報の取得を試みる攻撃 今回は TLB (仮想アドレスに対応した物理メモリのアドレス専用のキャッシュ) を使う TLBは直前に参照されたアドレスを格納する PAC を求めたいポインタのアドレスで埋め尽くしてしまう PAC の検証後にそのポインタへアクセスさせるように仕向け、その後アクセスした際の時間を確認 アクセス時間が短い -> TLBに格納されているキャッシュがロードされずに残ってる -> 検証失敗 アクセス時間が長い -> TLBに格納されているキャッシュがロードされ退避された -> 検証成功 アクセス時間により、 PAC の検証が成功したかどうかを確認できる！ 第２０回 初心者のためのセキュリティ勉強会 kuzu7shiki 8 / 13
9. 攻撃の実証 (1 / 3) １. PACMAN 攻撃の正確さ 不正な PAC と正常な PAC （それぞれ１万個）を用い、TLB のデータに差が生じるかを検証している 縦軸: 頻度 横軸: ロードが成功し TLB から退避されたデータの個数 (a) と (b) では異なる PACMAN ガジェットを使用している 不正な PAC と 正常な PAC で明確な差が生じている -> PACMAN 攻撃は正確である 第２０回 初心者のためのセキュリティ勉強会 kuzu7shiki 9 / 13
10. 攻撃の実証 (2 / 3) ２. 総当りにかかる時間 1つの PAC をテストするのに平均 2.69 ミリ秒かかる -> M1 では 16 ビットの PAC が使われているので平均で 2.94 分かかると推定できる -> 十分実用的 ( 2.69 x 10 x 2 ≒ 176.29 ≒ 2.94 x 60 ) ３. 総当りの正確さ 50 回実験を行った -> 45回は正しい PAC が見つかり、残りの5回は見つからなかった 「ダメじゃん」と思われるかもしれないが、あくまで偽陰性のため再度総当りすればよい。 ※偽陽性（不正な PAC を「正しい」と判断してしまう）があるとクラッシュしてしまうので NG 第２０回 初心者のためのセキュリティ勉強会 kuzu7shiki -3 16 10 / 13
11. 攻撃の実証 (3 / 3) ４. 実際に悪用できることの確認 意図的にバッファオーバーフローの脆弱性を作り込み、 Pointer Authentication をバイパスして関数ポインタをカーネル内に存在 する別の関数に書き換える -> 攻撃に成功した 第２０回 初心者のためのセキュリティ勉強会 kuzu7shiki 11 / 13
12. 対策 １. PAC の検証結果が投機実行により漏洩しないように、マイクロアーキテクチャやソフトウェアを変更する ２. Spectre に対する防御の先行研究を、PACMAN に対する防御に適応させる ３. ソフトウェアに存在するメモリ破壊の脆弱性にパッチを適用する -> 皆さんが実行できるのは ３ の対策のみ 第２０回 初心者のためのセキュリティ勉強会 kuzu7shiki 12 / 13
13. 終わりに Apple M1 CPU の脆弱性「PACMAN」についてざっくりと解説した 今後検証コードが公開されるとのこと Check back here for a complete release of all of our code coming soon. -> 来月までに公開されていたら勉強会でデモやるかも 第２０回 初心者のためのセキュリティ勉強会 kuzu7shiki 13 / 13