利用TrustZone保护可信程序免受恶意操作系统攻击

阿Q  2017-11-02 02:27 
摘要:

利用TrustZone保护可信程序免受恶意操作系统攻击,自从在ARMv6上第一次被引入,TrustZone已被部署在其后绝大多数应用处理器上(比如,手机上广泛使用的cotex-a系列)上。

IoT设备正在疯狂的渗透我们的生活。从IP摄像头,外科手术机器人, 语音智能辅助系统,到边缘计算(如智能路由器),我们的生活工作环境已经由上亿个IoT设备互联。不光如此,这些设备需要有足够的智能来协助我们来处理事务,比如,Amazon的Echo语音智能系统可以学习用户的习惯,从而制定个性化的语音服务。设备生产商为了快速进入市场,通常会在已有的成熟平台搭建自己的系统,很显然,ARM加Linux的组合统治了目前智能IoT市场。

然而,Linux内核作为统治互联网的开源软件,无时不刻遭受着黑客的攻击,2017年短短几个月(截止7月8日),已有346个安全漏洞被曝出【1】。操作系统内核作为计算机的大管家,通常被认为是系统的可信计算基(TCB)。显然,恶意的Linux内核给运行在其上的敏感用户程序带来严重的威胁。如何在操作系统不可信的情况下,保护敏感应用程序的机密性、隔离性、可信性是非常有挑战性但却重要的研究课题。

在x86平台,已有基于虚拟化的方案来解决这一问题【2,3】。其总体思想是利用影子页表来给应用程序两个视图。如图1所示,在用户态,进程可以正常访问它的数据;但是一旦进入内核,如果处理器要访问用户数据,该数据对应的页会被hypervisor透明的加密。

  图1: 基于虚拟化的解决方案

对基于ARM的IoT平台,这一思路却行不通。原因有以下三点:第一,ARM的虚拟化硬件扩展直到2010才发布【4】,因此很多现有ARM设备不支持该扩展;第二,虚拟机不能提供native的性能,这对于本来就资源受限的ARM IoT移动设备,无疑是很难接受的(当然,ARM的硬件虚拟化技术在服务器市场仍然被广泛使用)【5】;第三,这类方案需要依赖hypervisor,然而,实现一个hypervisor本身需要相当大的TCB, 近年来hypervisor自己的安全性已经受到严峻的挑战【6】。

相比硬件虚拟化扩展,TrustZone安全扩展【7】已经得到广泛的应用,自从在ARMv6上第一次被引入,TrustZone已被部署在其后绝大多数应用处理器上(比如,手机上广泛使用的cotex-a系列)上。简单来讲,具有TrustZone安全扩展的处理器,有两个逻辑core,它们共用一套处理器运算资源。两个core分别运行在安全世界和普通世界中,它们分时复用处理器。每个core有自己独立的安全运行级、和系统控制寄存器、内存管理单元(MMU)等,因此,他们可以独立运行自己的操作系统。两个core的不同,体现在对系统资源的访问上,对应两个逻辑core,系统的硬件资源被划分为安全和非安全的。运行在安全世界的core,可以访问所有的硬件资源;而运行在普通世界的core,则只能访问非安全的资源。这些访问控制的配置,储存在只有安全世界才能访问的寄存器中。一般来讲,普通世界的core运行commodity的操作系统,比如Linux;安全世界的core,运行轻量级的可信操作系统,从而提供一个可信运行环境(TEE)。ARM的这种架构, 被 Android、iOS等移动操作系统广泛利用。比如,在指纹识别技术中,为了保护用户指纹的原始信息,移动操作系统没有权限获取指纹识别器的数据,相反,在安全世界,TEE里的服务进程进行指纹采集和比对等工作,而仅仅把结果传给普通世界的移动操作系统。

已有的基于TrustZone的安全技术,其安全服务的API和普通操作系统完全不同,并且相对独立,甚至不能和普通世界交互,仅仅构成一个自包含的程序逻辑(Pieces of Application Logic, PAL) 。TrustShadow则首次利用TrustZone,来安全的运行未更改的应用程序。一方面,TrustShadow支持已有的代码;另一方面,支持TrustZone的设备非常广泛。因此,TrustShadow可以立即部署在现实世界,并保护已有的、不需要修改的代码。

TrustShadow的基本思想是,可信的进程仍然由普通世界的Linux内核来创建和管理,但是,其运行必须在安全世界中。显然,可信进程所使用的物理内存必须是安全资源,这样可以防止Linux内核对其进行访问。可信进程在安全世界的运行环境,比如页表的创建、系统服务由安全世界的一个轻量级运行时来维护。 为了减小其TCB,安全运行时并不直接参与这些服务,而是把他们转发到普通世界的Linux内核,然后,验证其行为是否可信。显然,验证一个行为正确性的复杂性远远低于实现它,因此,安全运行时可以保持很小的TCB。通过这些验证机制,我们确保可信进程的一下安全特性:

1.运行过程中,可信进程和普通操作系统隔离,普通操作系统不能访问可信进程的数据和代码。

2.载入阶段,保证可信进程的代码的完整性。

3.验证系统调用的返回值,来抵抗Iago攻击【8】。

4.加密文件操作,使得写入磁盘的数据是密文,防止不可信操作系统的访问。

以下,我们通过图示来展示TrustShadow如何通过缺页处理(page fault handler)来保证可信进程地址空间的隔离,以及确保代码的完整性。其他技术细节,请参考MobiSys 2017的论文《TrustShadow: Secure Execution of Unmodified Applications with ARM TrustZone》。

利用TrustZone保护可信程序免受恶意操作系统攻击

图2: 代码段缺页处理

如图2,当进程由于访问代码而发生缺页,安全运行时把该异常转发给普通世界的Linux内核,Linux找到对应的文件缓存页N-page,安装页表,同时给可信进程分配一个安全的物理页S-page。安全运行时接管后,首先验证S-page是否真的安全资源,其次验证S-page是否和别的物理内存存在double-mapping,只有在安全验证都通过以后,安全运行时才安装可信的页表,并把N-page的代码复制到S-page。最后,使用储存在安全世界的元数据来验证该代码页是否经过篡改,如果没有,则返回可信进程继续执行。至此,普通Linux不能对改代码页进行任何修改。

当然,把进程运行在安全世界,如果有漏洞,则可能被攻击者利用,反过来攻击普通世界的Linux内核,因为安全世界的权限大于普通世界。在TrustShadow的设计中,我们利用以下几点来防止这一隐患。第一,TrustShadow支持未经修改的程序,并不意味着所有程序都可以在安全世界运行。我们需要对可信进程进行严格审查,通过审查的程序,需要绑定一个签名的manifest,安全运行时检查该manifest的有效性来判断是否允许其在安全世界运行;第二,由于可信进程运行在用户空间,即使其有漏洞,也需要进一步exploit安全运行时,才能构成有效攻击;第三,如上所述,我们的安全运行时进行了极简的设计,其对可信进程暴露的接口很少(仅仅转发异常和检查系统服务返回值),而且,5000+的代码量,也使得形式化验证成为可能。

我们在NXP的i.MX6q开发版上实现了以上设计,并成功的运行了50多个Linux的核心utility,以及Apache、Nginx等大型程序。具体的实验数据情参考Mobisys论文。

参考文献:

1: CVEdetails.com. Linux: Vulnerability statistics. https://www.cvedetails.com/product/47/Linux-Linux-Kernel.html?vendor_id=33

2: Chen, Xiaoxin, et al. “Overshadow: a virtualization-based approach to retrofitting protection in commodity operating systems.” ACM SIGARCH Computer Architecture News. Vol. 36. No. 1. ACM, 2008.

3: Hofmann, Owen S., et al. “Inktag: Secure applications on an untrusted operating system.” ACM SIGARCH Computer Architecture News. Vol. 41. No. 1. ACM, 2013.

4: ARM Architecture Group. Virtualization Extensions Architecture Specification, 2010. https://www:arm:com/products/processors/technologies/virtualization-extensions:php.

5: Felix Baum. Why you don‘t necessarily need a hypervisor, 2014. http://embedded-computing:com/guest-blogs/why-you-dont-necessarily-need-a-hypervisor/.

6: CVEdetails.com. Vmware: Vulnerability statistics. http://www:cvedetails:com/vendor/252/Vmware:html.

7: ARM Ltd. Security technology building a secure system using trustzone technology (white paper). 2009.

8: Checkoway, Stephen, and Hovav Shacham. Iago attacks: Why the system call api is a bad untrusted rpc interface. Vol. 41. No. 1. ACM, 2013.

作者简介

管乐博士

本科毕业于中国科学技术大学,博士毕业于中国科学院信息工程研究所,现为宾州州立大学刘鹏教授研究组博士后。他的研究方向为系统安全,移动平台安全。他的研究成果发表在IEEE S&P,NDSS,TDSC等系统安全顶级会议期刊和SenSys,MobiSys等移动计算顶级会议。

关注我们:关注安全导航的微信公众号:扫描二维码安全导航的公众号,公众号:AQDH_com
版权声明:本站部分内容来自网络转载,如有版权问题,请联系我们。

发表评论


表情