消除IoT上的緩沖區(qū)溢出漏洞

在過去 30 年中，緩沖區(qū)溢出一直是網(wǎng)絡(luò)傳播的攻擊中最常被利用的漏洞?？紤]到緩沖區(qū)的創(chuàng)建方式，這并不奇怪。

下面是 C 語言中的一個示例：

步驟 1.程序員使用 malloc 函數(shù)并定義緩沖區(qū)內(nèi)存量（例如 32 字節(jié)）

步驟2.返回一個指針，指示內(nèi)存中緩沖區(qū)的開始

第3步。程序員在需要讀取或?qū)懭朐摼彌_區(qū)時使用指針（僅）作為引用

有了指針，程序員很容易忘記分配給給定緩沖區(qū)的實際內(nèi)存量。編譯器使用元數(shù)據(jù)在組裝過程中分配適當(dāng)?shù)木彌_區(qū)大小，但此元數(shù)據(jù)通常在生成時被丟棄以減少占用空間。

如果程序內(nèi)或程序之間傳輸?shù)臄?shù)據(jù)隨后超出了最初定義的緩沖區(qū)大小，則該數(shù)據(jù)信息將覆蓋相鄰的內(nèi)存。這可能導(dǎo)致內(nèi)存訪問錯誤或崩潰，以及安全漏洞。

緩沖區(qū)溢出和漏洞利用

黑客可以使用堆棧緩沖區(qū)溢出將可執(zhí)行文件替換為惡意代碼，從而允許他們利用堆內(nèi)存或調(diào)用堆棧本身等系統(tǒng)資源。例如，控制流劫持利用堆棧緩沖區(qū)溢出將代碼執(zhí)行重定向到正常操作中使用的位置以外的位置。

一旦負責(zé)控制流， 控制流劫持者可以修改指針和重用現(xiàn)有代碼， 同時也可能替換代碼?？刂屏鞯拿钸€允許攻擊者修改指針以用于間接調(diào)用、跳轉(zhuǎn)和函數(shù)返回，從而留下有效的圖形以向防御者隱藏其操作。

圖 1.控制流劫持是一種常見的攻擊，它利用緩沖區(qū)溢出來征用系統(tǒng)堆棧。

盡管動態(tài)地址空間布局隨機化 （ASLR） 機制和堆棧 Canaries 用于在代碼執(zhí)行發(fā)生之前檢測和防止緩沖區(qū)溢出，但此類威脅仍然是一個挑戰(zhàn)。

安全性：軟件還是芯片？

ASLR 和堆棧 Canary 是基于軟件的緩沖區(qū)溢出保護機制，它們確實使攻擊者更難利用緩沖區(qū)溢出。例如，ASLR動態(tài)地重新定位內(nèi)存區(qū)域，以便黑客必須有效地猜測目標組件（如基本可執(zhí)行文件，庫以及堆棧和堆內(nèi)存）的地址空間。不幸的是，最近的漏洞，如幽靈和崩潰泄漏來自CPU分支預(yù)測器的信息，這限制了ASLR的有效性，原因顯而易見。

另一方面，堆疊金絲雀在內(nèi)存中返回指針之前插入小整數(shù)。檢查這些整數(shù)以確保它們在例程可以使用相應(yīng)的返回指針之前未發(fā)生更改。盡管如此，黑客仍有可能讀取金絲雀，如果他們確定包含正確的金絲雀值，則可以簡單地覆蓋它和隨后的緩沖區(qū)而不會發(fā)生事故。此外，雖然 Canary 保護控制數(shù)據(jù)不被更改，但它們不保護指針或任何其他數(shù)據(jù)。

當(dāng)然，基于軟件的安全解決方案的另一個挑戰(zhàn)是它們非常容易受到錯誤的影響。據(jù)估計，每1000行代碼存在15-50個錯誤，這意味著解決方案中存在的軟件越多，漏洞的數(shù)量就越多。

當(dāng)解決疾病而不是緩沖區(qū)溢出的癥狀時，一種更強大的方法是在硅中實現(xiàn)安全性 - 雖然堆棧緩沖區(qū)溢出利用旨在操縱軟件程序，但解決此類攻擊的根本原因始于意識到處理器無法確定給定程序是否正確執(zhí)行。

除了減輕軟件錯誤的影響之外，硅不能遠程更改。但是，必須對處理器或芯片IP進行編程，以便在運行時識別嘗試寫入內(nèi)存或外圍設(shè)備的指令是否在執(zhí)行合法或非法操作。

多佛微系統(tǒng)公司開發(fā)了這樣一種名為CoreGuard的技術(shù)。

運行時的硅安全性

CoreGuard 是一塊芯片 IP，可以與 RISC 處理器架構(gòu)集成，以便在運行時識別無效指令。該解決方案以 RTL 形式提供，可針對各種功率和面積要求進行優(yōu)化，或進行修改以支持自定義處理器擴展。

如圖 2 所示，CoreGuard 體系結(jié)構(gòu)包括一個硬件互鎖，用于控制主機處理器與系統(tǒng)其余部分之間的所有通信。硬件互鎖將這些通信匯集到策略實施器中。

圖 2.多佛微系統(tǒng)的CoreGuard安全IP使用微策略和硬件聯(lián)鎖來識別和阻止無效指令，然后再執(zhí)行。

另外，CoreGuard 使用稱為微策略的可更新安全規(guī)則，這些規(guī)則是用高級專有語言創(chuàng)建的簡單管理策略。這些規(guī)則安裝在與其他操作系統(tǒng)或應(yīng)用程序代碼隔離的安全、不可訪問的內(nèi)存區(qū)域中。CoreGuard 還在此處為通常被編譯器丟棄的應(yīng)用程序元數(shù)據(jù)保留了少量內(nèi)存分配，用于為系統(tǒng)中的所有數(shù)據(jù)和指令生成唯一標識符。這些組件在系統(tǒng)引導(dǎo)時加載。

當(dāng)指令嘗試在運行時執(zhí)行時，以特權(quán)模式運行的 CoreGuard 策略執(zhí)行核心或主機處理器會根據(jù)定義的微策略交叉引用指令的元數(shù)據(jù)。硬件互鎖確保處理器僅向存儲器或外設(shè)輸出有效指令，從而防止無效代碼完全執(zhí)行。應(yīng)用程序會收到類似于被零除錯誤的策略違規(guī)通知，并通知用戶。

與主機處理器集成所需的一切，以支持指令跟蹤輸出、失速輸入、不可屏蔽中斷 （NMI） 輸入和中斷輸出。對于非芯片設(shè)計人員，多佛微系統(tǒng)公司最近宣布，其CoreGuard技術(shù)正在被設(shè)計到某些恩智浦處理器中。

消除攻擊類別

在緩沖區(qū)溢出的情況下，像CoreGuard這樣的技術(shù)的好處是顯而易見的?？梢院喜⒆鳛榻?jīng)常丟棄的編譯器元數(shù)據(jù)的一部分捕獲的緩沖區(qū)大小，以限制攻擊者從整個網(wǎng)絡(luò)操作系統(tǒng)堆棧的能力。更進一步，相同的原則通?？梢詰?yīng)用于控制流劫持，因為從內(nèi)存中的各個點返回可以在發(fā)生之前受到限制。

在實踐中，這種實時感知也為安全行業(yè)創(chuàng)造了一個新的競爭環(huán)境。通過在損壞發(fā)生之前識別錯誤或攻擊，用戶可以選擇動態(tài)重新分配內(nèi)存，切換到單獨的，更安全的程序或記錄事件，同時繼續(xù)運行相同的程序。如何繼續(xù)完全取決于應(yīng)用程序或業(yè)務(wù)案例的需求。

審核編輯：郭婷