消除IoT上的緩沖區(qū)溢出漏洞

在過去 30 年中，緩沖區(qū)溢出一直是網(wǎng)絡(luò)傳播的攻擊中最常被利用的漏洞?？紤]到緩沖區(qū)的創(chuàng)建方式，這并不奇怪。

下面是 C 語言中的一個(gè)示例：

步驟 1.程序員使用 malloc 函數(shù)并定義緩沖區(qū)內(nèi)存量（例如 32 字節(jié)）

步驟2.返回一個(gè)指針，指示內(nèi)存中緩沖區(qū)的開始

第3步。程序員在需要讀取或?qū)懭朐摼彌_區(qū)時(shí)使用指針（僅）作為引用

有了指針，程序員很容易忘記分配給給定緩沖區(qū)的實(shí)際內(nèi)存量。編譯器使用元數(shù)據(jù)在組裝過程中分配適當(dāng)?shù)木彌_區(qū)大小，但此元數(shù)據(jù)通常在生成時(shí)被丟棄以減少占用空間。

如果程序內(nèi)或程序之間傳輸?shù)臄?shù)據(jù)隨后超出了最初定義的緩沖區(qū)大小，則該數(shù)據(jù)信息將覆蓋相鄰的內(nèi)存。這可能導(dǎo)致內(nèi)存訪問錯(cuò)誤或崩潰，以及安全漏洞。

緩沖區(qū)溢出和漏洞利用

黑客可以使用堆棧緩沖區(qū)溢出將可執(zhí)行文件替換為惡意代碼，從而允許他們利用堆內(nèi)存或調(diào)用堆棧本身等系統(tǒng)資源。例如，控制流劫持利用堆棧緩沖區(qū)溢出將代碼執(zhí)行重定向到正常操作中使用的位置以外的位置。

一旦負(fù)責(zé)控制流， 控制流劫持者可以修改指針和重用現(xiàn)有代碼， 同時(shí)也可能替換代碼。控制流的命令還允許攻擊者修改指針以用于間接調(diào)用、跳轉(zhuǎn)和函數(shù)返回，從而留下有效的圖形以向防御者隱藏其操作。

圖 1.控制流劫持是一種常見的攻擊，它利用緩沖區(qū)溢出來征用系統(tǒng)堆棧。

盡管動(dòng)態(tài)地址空間布局隨機(jī)化 （ASLR） 機(jī)制和堆棧 Canaries 用于在代碼執(zhí)行發(fā)生之前檢測(cè)和防止緩沖區(qū)溢出，但此類威脅仍然是一個(gè)挑戰(zhàn)。

安全性：軟件還是芯片？

ASLR 和堆棧 Canary 是基于軟件的緩沖區(qū)溢出保護(hù)機(jī)制，它們確實(shí)使攻擊者更難利用緩沖區(qū)溢出。例如，ASLR動(dòng)態(tài)地重新定位內(nèi)存區(qū)域，以便黑客必須有效地猜測(cè)目標(biāo)組件（如基本可執(zhí)行文件，庫(kù)以及堆棧和堆內(nèi)存）的地址空間。不幸的是，最近的漏洞，如幽靈和崩潰泄漏來自CPU分支預(yù)測(cè)器的信息，這限制了ASLR的有效性，原因顯而易見。

另一方面，堆疊金絲雀在內(nèi)存中返回指針之前插入小整數(shù)。檢查這些整數(shù)以確保它們?cè)诶炭梢允褂孟鄳?yīng)的返回指針之前未發(fā)生更改。盡管如此，黑客仍有可能讀取金絲雀，如果他們確定包含正確的金絲雀值，則可以簡(jiǎn)單地覆蓋它和隨后的緩沖區(qū)而不會(huì)發(fā)生事故。此外，雖然 Canary 保護(hù)控制數(shù)據(jù)不被更改，但它們不保護(hù)指針或任何其他數(shù)據(jù)。

當(dāng)然，基于軟件的安全解決方案的另一個(gè)挑戰(zhàn)是它們非常容易受到錯(cuò)誤的影響。據(jù)估計(jì)，每1000行代碼存在15-50個(gè)錯(cuò)誤，這意味著解決方案中存在的軟件越多，漏洞的數(shù)量就越多。

當(dāng)解決疾病而不是緩沖區(qū)溢出的癥狀時(shí)，一種更強(qiáng)大的方法是在硅中實(shí)現(xiàn)安全性 - 雖然堆棧緩沖區(qū)溢出利用旨在操縱軟件程序，但解決此類攻擊的根本原因始于意識(shí)到處理器無法確定給定程序是否正確執(zhí)行。

除了減輕軟件錯(cuò)誤的影響之外，硅不能遠(yuǎn)程更改。但是，必須對(duì)處理器或芯片IP進(jìn)行編程，以便在運(yùn)行時(shí)識(shí)別嘗試寫入內(nèi)存或外圍設(shè)備的指令是否在執(zhí)行合法或非法操作。

多佛微系統(tǒng)公司開發(fā)了這樣一種名為CoreGuard的技術(shù)。

運(yùn)行時(shí)的硅安全性

CoreGuard 是一塊芯片 IP，可以與 RISC 處理器架構(gòu)集成，以便在運(yùn)行時(shí)識(shí)別無效指令。該解決方案以 RTL 形式提供，可針對(duì)各種功率和面積要求進(jìn)行優(yōu)化，或進(jìn)行修改以支持自定義處理器擴(kuò)展。

如圖 2 所示，CoreGuard 體系結(jié)構(gòu)包括一個(gè)硬件互鎖，用于控制主機(jī)處理器與系統(tǒng)其余部分之間的所有通信。硬件互鎖將這些通信匯集到策略實(shí)施器中。

圖 2.多佛微系統(tǒng)的CoreGuard安全I(xiàn)P使用微策略和硬件聯(lián)鎖來識(shí)別和阻止無效指令，然后再執(zhí)行。

另外，CoreGuard 使用稱為微策略的可更新安全規(guī)則，這些規(guī)則是用高級(jí)專有語言創(chuàng)建的簡(jiǎn)單管理策略。這些規(guī)則安裝在與其他操作系統(tǒng)或應(yīng)用程序代碼隔離的安全、不可訪問的內(nèi)存區(qū)域中。CoreGuard 還在此處為通常被編譯器丟棄的應(yīng)用程序元數(shù)據(jù)保留了少量?jī)?nèi)存分配，用于為系統(tǒng)中的所有數(shù)據(jù)和指令生成唯一標(biāo)識(shí)符。這些組件在系統(tǒng)引導(dǎo)時(shí)加載。

當(dāng)指令嘗試在運(yùn)行時(shí)執(zhí)行時(shí)，以特權(quán)模式運(yùn)行的 CoreGuard 策略執(zhí)行核心或主機(jī)處理器會(huì)根據(jù)定義的微策略交叉引用指令的元數(shù)據(jù)。硬件互鎖確保處理器僅向存儲(chǔ)器或外設(shè)輸出有效指令，從而防止無效代碼完全執(zhí)行。應(yīng)用程序會(huì)收到類似于被零除錯(cuò)誤的策略違規(guī)通知，并通知用戶。

與主機(jī)處理器集成所需的一切，以支持指令跟蹤輸出、失速輸入、不可屏蔽中斷 （NMI） 輸入和中斷輸出。對(duì)于非芯片設(shè)計(jì)人員，多佛微系統(tǒng)公司最近宣布，其CoreGuard技術(shù)正在被設(shè)計(jì)到某些恩智浦處理器中。

消除攻擊類別

在緩沖區(qū)溢出的情況下，像CoreGuard這樣的技術(shù)的好處是顯而易見的。可以合并作為經(jīng)常丟棄的編譯器元數(shù)據(jù)的一部分捕獲的緩沖區(qū)大小，以限制攻擊者從整個(gè)網(wǎng)絡(luò)操作系統(tǒng)堆棧的能力。更進(jìn)一步，相同的原則通?？梢詰?yīng)用于控制流劫持，因?yàn)閺膬?nèi)存中的各個(gè)點(diǎn)返回可以在發(fā)生之前受到限制。

在實(shí)踐中，這種實(shí)時(shí)感知也為安全行業(yè)創(chuàng)造了一個(gè)新的競(jìng)爭(zhēng)環(huán)境。通過在損壞發(fā)生之前識(shí)別錯(cuò)誤或攻擊，用戶可以選擇動(dòng)態(tài)重新分配內(nèi)存，切換到單獨(dú)的，更安全的程序或記錄事件，同時(shí)繼續(xù)運(yùn)行相同的程序。如何繼續(xù)完全取決于應(yīng)用程序或業(yè)務(wù)案例的需求。

審核編輯：郭婷