State Authenticity under Multiple Bus Masters: A Non-Secure DMA Gap and Mitigation for TrustZone-M Proofs of Executio

تخيل عالماً تنتشر فيه حواسيب صغيرة ورخيصة في كل مكان—داخل منظم الحرارة الذكي، وجهاز تتبع اللياقة البدنية، وحتى في المستشعرات الموجودة في أرضية المصنع. من المفترض أن تكون هذه الأجهزة الصغيرة بمثابة مراسلين صادقين، ترسل بيانات مثل قراءات درجة الحرارة أو عدد الحركات. ولكن ماذا لو سيطر مخترق على أحد هذه الأجهزة وبدأ في تقديم بيانات مزيفة، مغذياً قاعدة بيانات سحابية ضخمة بمعلومات كاذبة؟ لإيقاف ذلك، نستخدم "إثبات تنفيذ" رقمي. فكر في الأمر كأنه موثق عقود للحواسيب: يقوم الجهاز بتوقيع إيصال يقول فيه: "أعد بصدق أنني أجريت هذه المسألة الرياضية المحددة تماماً كما طُلب مني، دون أن يتلاعب أي شخص بالأرقام".

لكي يعمل هذا، يحتاج الجهاز إلى شيئين: طريقة آمنة لإثبات أنه نفذ الكود الصحيح، وطريقة لإثبات أن البيانات التي استخدمها ("الحالة") لم يتم التلاعب بها. الورقة البحثية التي نناقشها تتناول نسخة تقنية متطورة من نظام الإثبات هذا تسمى TrustZone-M، وهي مدمجة في العديد من الرقائق الدقيقة الحديثة. إنها تشبه خزنة فائقة الأمان داخل الشريحة تفصل بين المهام "الموثوقة" والمهام "غير الموثوقة". السؤال الكبير هو: إذا اقتحم مخترق الجانب "غير الموثوق"، هل يمكنه التسلل وتغيير البيانات خفيةً أثناء قيام الكمبيوتر بعملياته الحسابية، ليخدع النظام ويجعله يوقع على إيصال مزيف؟ تبحث هذه الورقة فيما إذا كانت القواعد الحالية للخزنة قوية بما يكفي لمنع مساعدٍ متسلل وغير مرئي يمكنه كتابة البيانات دون أن يلاحظ الكمبيوتر الرئيسي ذلك أبداً.

---

القلم الخفي: كيف خدع مخترق "شبح" شريحة آمنة

في لعبة أمن الأنظمة المدمجة عالية المخاطر، اقترح الباحثون مؤخراً مخططاً ذكياً يسمى SLAPP (إثباتات التنفيذ المرتبطة بالحالة). تخيل نظام SLAPP كأنه أمين مكتبة صارم يريد التحقق من أن طالباً (الجهاز) قد حل مسألة رياضية بشكل صحيح. يتحقق أمين المكتبة من شيئين: أولاً، أن الطالب استخدم الكتاب المدرسي الصحيح (الكود)، وثانياً، أن الطالب لم يغش عبر تغيير الأرقام في دفتر ملاحظاته (الحالة) أثناء حل المسألة.

كان منطق أمين المكتبية بسيطاً وبدا محكماً للغاية: "إذا حاول الطالب تغيير الأرقام في دفتر ملاحظاته، فيجب عليه أولاً فتح الكتاب المدرسي للعثور على التعليمات حول كيفية القيام بذلك. وبما أن لدينا ماسحاً ضوئياً سحرياً يراقب الكتاب المدرسي، فإن أي تغيير في التعليمات سيتم اكتشافه فوراً. لذلك، إذا بدا الكتاب المدرسي مثالياً، فلا بد أن تكون الأرقام في دفتر الملاحظات صادقة أيضاً".

ومع ذلك، ترفع هذه الورقة الستار لتكشف عن خلل في ذلك المنطق. فقد اكتشف الباحثون أن "الطالب" ليس الكاتب الوحيد في دفتر الملاحظات. هناك كاتب ثانٍ خفي: وهو متحكم الوصول المباشر للذاكرة (DMA).

الكاتب "الشبح"

لفهم الـ DMA، تخيل المعالج الرئيسي (CPU) كطباخ مشغول يقطع الخضروات. الطباخ هو الوحيد المسموح له بلمس لوح التقطيع (الذاكرة) في المطبخ. ويتم مراقبة الطباخ بواسطة كاميرا أمنية (عزل TrustZone-M) تضمن عدم لمس أي شخص آخر للوحة.

لكن انتظر! هناك ذراع آلية (متحكم DMA) تجلس في المطبخ. هذه الروبوت مبرمجة لنقل المكونات من الثلاجة إلى لوح التقطيع تلقائياً. كاميرا الأمن تراقب فقط يدي الطباخ. هي لا تعرف وجود الروبوت. يمكن للروبوت أن يمد يده، ويمسك بكيس دقيق، ويفرغه على لوح التقطيع بينما ينشغل الطباخ بالتقطيع. الطباخ لا يرى الروبوت، وكاميرا الأمن لا ترمش لأن يدي الطباخ لم تتحركا.

في عالم نظام الأمان SLAPP، "الروبوت" هو متحكم الـ DMA. وجد الباحثون أن النظام الأمني كان يراقب الطباخ (CPU) فقط. افترض النظام أنه إذا لم يتغير كتاب الوصفات (ذاكرة البرنامج)، فلن يتمكن أحد من تغيير المكونات (الحالة). لكن الروبوت يمكنه تغيير المكونات دون لمس كتاب الوصفات.

الهجوم: التسميم الصامت

قام الباحثون بإجراء اختبار على شريحة حقيقية (المتحكم الدقيق STM32L5) ليروا ما إذا كان بإمكان هذا الكاتب "الشبح" كسر النظام بالفعل. أنشأوا سيناريو حيث قام مخترق، سيطر بالفعل على الجزء "غير الموثوق" من الشريحة، باستخدام روبوت الـ DMA لاستبدال رقم شرعي بآخر مزيف في منتصف العملية الحسابية تماماً.

إليك كيف تمت الخدعة:

1. الفحص: قام الجزء الآمن من الشريحة بفحص الدفتر ورأى أن الأرقام نظيفة. فأعطى إشارة الموافقة.
2. الاستبدال: مباشرة بعد الفحص، ولكن قبل توقيع النتيجة النهائية، انقضّ روبوت الـ DMA واستبدل الرقم بقيمة "مسمومة".
3. التوقيع: أنهى الشريحة العملية الحسابية باستخدام الرقم المسموم ووقعت على الإيصال.
4. النتيجة: نظرت كاميرا الأمن إلى كتاب الوصفات، ورأت أنه لم يُمس، فقبلت الإيصال كوثيقة صالحة.

النتيجة كانت "إثبات تنفيذ" صحيح رياضياً ولكنه كاذب واقعياً. لقد وثّق النظام نتيجة بناءً على بيانات تم التلاعب بها، وكل ذلك بينما كان الكمبيوتر الرئيسي يعتقد أن كل شيء يسير على ما يرام.

لماذا فشلت الدفاعات المعتادة؟

سأل الباحثون بعد ذلك: "لماذا لم يمنع الأمن المدمج في الشريحة هذا الأمر؟" جربوا ثلاثة دفاعات قياسية، وفشل كل منها لسبب مختلف ومثير للسخرية:

1. محاولة "قفل الروبوت": حاولوا إخبار النظام الأمني بقفل ذراع الروبوت. لكن النظام قال: "أنا لا أتحكم في الروبوتات؛ أنا أتحكم في الطباخ فقط". بوابة الأمن ببساطة لم تكن تنطبق على الروبوت.
2. محاولة "قفل الطاولة": حاولوا قفل لوح التقطيع حتى لا يلمسه أحد. لكن هذا كان صارماً للغاية! فالطباخ يحتاج للكتابة على اللوح أيضاً. إذا قفلوا اللوح، فلن يستطيع الطباخ القيام بعمله، وسيتوقف النظام بأكمله عن العمل.
3. محاولة "الإنذار": حاولوا إعداد إنذار يرن إذا لمس الروبوت اللوحة. لكن الإنذار يرن فقط إذا خرق شخص ما القواعد. وبما أن الروبوت كان مسموحاً له بلمس اللوحة (كان مجرد نوع خاطئ من "اللمس" بالنسبة لقاعدة أمنية محددة)، ظل الإنذار صامتاً.

الحل: ترويض الروبوت

لم يكن الحل بناء جدار أكبر أو إنذار أعلى صوتاً. بل كان إعطاء الروبوت بطاقة أمنية خاصة به. وجد الباحثون أن الروبوت (متحكم DMA) يمتلك في الواقع مفتاحاً مخفياً بالداخل يمكن للطباخ الآمن تبديله.

من خلال تبديل هذا المفتاح، يمكن للعالم الآمن أن يقول: "هذا الروبوت تحديداً أصبح الآن تحت سيطرتي. إذا حاول المخترق إخباره بالتحرك، فسوف يتجاهله ويرفع علامة حمراء".

كان هذا الإصلاح رخيصاً وسهلاً بشكل مفاجئ. لم يؤدِ إلى إبطاء عمل الطباخ ولم يتطلب أجهزة جديدة. اختبر الباحثون ذلك عبر تأمين جميع أذرع الروبوتات في الشريحة. وعندما حاولوا الهجوم مرة أخرى، رفض الروبوت التحرك، وانطلق الإنذار، ورُفض الإيصال المزيف.

الدرس الكبير

أهم استنتاج من هذه الورقة ليس مجرد متعلق بشريحة معينة أو خدعة مخترق معينة. إنه درس حول كيفية تفكيرنا في الأمن.

لفترة طويلة، افترض مصممو الأمن أنه إذا قمت بحماية العقل الرئيسي (CPU)، فإنك تحمي كل شيء. تثبت هذه الورقة أنه في الرقائق الحديثة، هناك "أيدٍ" أخرى تمتد إلى الذاكرة لا يراها العقل. إذا كنت تريد الوثوق ببيانات كمبيوتر، فلا يمكنك الاكتفاء بمراقبة العقل فحسب؛ بل يجب عليك مراقبة كل يد يمكنها لمس البيانات.

أظهر الباحثون أن نظام SLAPP، كما نُشر، كان يحتوي على ثغرة في منطقه لأنه نسي أمر "الأيدي الروبوتية". لم يكتفوا فقط بإيجاد الثغرة، بل أظهروا بالضبط كيفية رتقها بإصلاح بسيط وخفيف. إنه تذكير بأنه في عالم الحواسيب الصغيرة، قد لا يكون أخطر المخترقين هم أولئك الذين يكتبون على لوحة المفاتيح، بل الروبوتات غير المرئية التي تعمل في الخلفية، منتظرةً أن ينسى شخص ما التحقق من هويتها.