State Authenticity under Multiple Bus Masters: A Non-Secure DMA Gap and Mitigation for TrustZone-M Proofs of Executio

Stellen Sie sich eine Welt vor, in der überall winzige, billige Computer verstreut sind – in Ihrem smarten Thermostat, Ihrem Fitness-Tracker und sogar in den Sensoren einer Fabrikhalle. Diese kleinen Geräte sollen ehrliche Berichterstatter sein und Daten wie Temperaturmessungen oder Bewegungszahlen zurücksenden. Aber was wäre, wenn ein Hacker eines dieser Geräte übernommen hätte und anfangen würde zu lügen, indem er gefälschte Daten in eine riesige Cloud-Datenbank einspeist? Um dies zu verhindern, verwenden wir einen digitalen „Ausführungsnachweis“ (Proof of Execution). Stellen Sie sich das wie einen Notar für Computer vor: Das Gerät unterschreibt eine Quittung mit der Aussage: „Ich verspreche, dass ich genau diese spezifische mathematische Aufgabe so ausgeführt habe, wie sie verlangt wurde, ohne dass jemand die Zahlen manipuliert hat.“

Damit dies funktioniert, benötigt das Gerät zwei Dinge: einen sicheren Weg, um zu beweisen, dass es den richtigen Code ausgeführt hat, und einen Weg, um zu beweisen, dass die Daten, die es verwendet hat (der „Zustand“), nicht manipuliert wurden. Das vorliegende Papier untersucht eine spezifische, hochtechnologische Version dieses Nachweissystems namens TrustZone-M, das in viele moderne Mikrochips eingebaut ist. Es ist wie ein supersicherer Tresor innerhalb des Chips, der „vertrauenswürdige“ Aufgaben von „nicht vertrauenswürdigen“ trennt. Die große Frage ist: Wenn ein Hacker in die „nicht vertrauenswürdige“ Seite einbricht, kann er dann heimlich die Daten ändern, während der Computer seine Berechnungen durchführt, um das System dazu zu bringen, eine gefälschte Quittung zu unterschreiben? Dieses Papier untersucht, ob die aktuellen Regeln des Tresors stark genug sind, um einen hinterlistigen, unsichtbaren Helfer aufzuhalten, der Daten schreiben kann, ohne dass der Hauptcomputer es jemals bemerkt.

---

Der unsichtbare Stift: Wie ein „Geister“-Hacker einen sicheren Chip täuschte

Im Hochrisikospiel der eingebetteten Sicherheit schlugen Forscher kürzlich ein kluges Schema namens SLAPP (Stateful Proofs of Execution) vor. Stellen Sie sich SLAPP als einen sehr strengen Bibliothekar vor, der überprüfen möchte, ob ein Schüler (das Gerät) eine Matheaufgabe korrekt gelöst hat. Der Bibliothekar prüft zwei Dinge: erstens, ob der Schüler das richtige Lehrbuch benutzt hat (der Code), und zweitens, ob der Schüler nicht geschummelt hat, indem er die Zahlen in seinem Notizbuch geändert hat (der Zustand), während er die Aufgabe löste.

Die Logik des Bibliothekars war einfach und schien wasserdicht: „Wenn der Schüler versucht, die Zahlen in seinem Notizbuch zu ändern, muss er zuerst das Lehrbuch öffnen, um die Anweisungen zu finden, wie er das macht. Aber da wir einen magischen Scanner haben, der das Lehrbuch überwacht, würde jede Änderung an den Anweisungen sofort entdeckt werden. Daher müssen, wenn das Lehrbuch perfekt aussieht, auch die Zahlen im Notizbuch ehrlich sein.“

Dieses Papier zieht jedoch den Vorhang beiseite, um einen Fehler in dieser Logik aufzuzeigen. Die Forscher entdeckten, dass der „Schüler“ nicht der Einzige ist, der in das Notizbuch schreiben kann. Es gibt einen zweiten, unsichtbaren Schreiber: einen DMA-Controller (Direct Memory Access).

Der „Geister“-Schreiber

Um den DMA zu verstehen, stellen Sie sich den Hauptprozessor (die CPU) als einen geschäftigen Koch vor, der Gemüse schneidet. Der Koch ist der Einzige, der das Schneidebrett (den Speicher) in der Küche berühren darf. Der Koch wird von einer Sicherheitskamera (der TrustZone-M-Isolierung) beobachtet, die sicherstellt, dass niemand sonst das Brett berührt.

Aber warten Sie! Da ist ein Roboterarm (der DMA-Controller) in der Küche. Dieser Roboter ist darauf programmiert, Zutaten automatisch vom Kühlschrank auf das Schneidebrett zu bewegen. Die Sicherheitskamera beobachtet nur die Hände des Kochs. Sie weiß nicht, dass der Roboter existiert. Der Roboter kann herübergreifen, eine Tüte Mehl packen und sie auf das Schneidebrett kippen, während der Koch gerade beschäftigt ist. Der Koch sieht den Roboter nie, und die Sicherheitskamera blinzelt nicht einmal, weil sich die Hände des Kochs nicht bewegt haben.

In der Welt des SLAPP-Sicherheitsschemas ist der „Roboter“ der DMA-Controller. Die Forscher fanden heraus, dass das Sicherheitssystem nur den Koch (die CPU) beobachtete. Es ging davon aus, dass, wenn das Rezeptbuch (der Programmspeicher) nicht geändert wurde, niemand die Zutaten (den Zustand) ändern konnte. Aber der Roboter konnte die Zutaten ändern, ohne das Rezeptbuch zu berühren.

Der Angriff: Eine stille Vergiftung

Die Forscher bauten einen Test auf einem echten Chip (einem STM32L5-Mikrocontroller) auf, um zu sehen, ob dieser „Geister“-Schreiber das System tatsächlich aushebeln könnte. Sie entwarfen ein Szenenarium, in dem ein Hacker, der bereits die „nicht vertrauenswürdige“ Seite des Chips übernommen hatte, den DMA-Roboter benutzte, um mitten in der Berechnung eine legitime Zahl durch eine gefälschte zu ersetzen.

So lief der Trick ab:

1. Die Prüfung: Der sichere Teil des Chips prüfte das Notizbuch und sah, dass die Zahlen sauber waren. Er gab ein „Daumen hoch“.
2. Der Austausch: Unmittelbar nach der Prüfung, aber vor dem endgültigen Ergebnis wurde unterschrieben, schlich sich der DMA-Roboter ein und ersetzte die Zahl durch einen „Giftwert“.
3. Die Signatur: Der Chip schloss die Berechnung mit der vergifteten Zahl ab und unterschrieb die Quittung.
4. Das Ergebnis: Die Sicherheitskamera sah sich das Rezeptbuch an, stellte fest, dass es unberührt war, und akzeptierte die Quittung als gültig.

Das Ergebnis war ein „Ausführungsnachweis“, der mathematisch zwar gültig, aber faktisch eine Lüge war. Das System zertifizierte ein Ergebnis basierend auf Daten, die manipuliert worden waren, während der Hauptcomputer glaubte, alles sei in Ordnung.

Warum die üblichen Abwehrmaßnahmen scheiterten

Die Forscher fragten dann: „Warum hat die eingebaute Sicherheit des Chips dies nicht verhindert?“ Sie probierten drei Standard-Abwehrmaßnahmen aus, und jede scheiterte aus einem anderen, kuriosen Grund:

1. Der Versuch „Den Roboter sperren“: Sie versuchten, dem Sicherheitssystem zu sagen, es solle den Roboterarm sperren. Aber das System antwortete: „Ich kontrolliere keine Roboter; ich kontrolliere nur den Koch.“ Das Sicherheitsgate griff für den Roboter einfach nicht.
2. Der Versuch „Den Tisch sperren“: Sie versuchten, das Schneidebrett zu sperren, damit niemand es berühren kann. Aber das war zu streng! Der Koch musste das Brett ebenfalls benutzen, um zu schreiben. Wenn sie das Brett gesperrt hätten, hätte der Koch seinen Job nicht machen können, und das gesamte System wäre zum Stillstand gekommen.
3. Der Versuch „Den Alarm auslösen“: Sie versuchten, einen Alarm einzurichten, der läuten würde, wenn der Roboter das Brett berührt. Aber der Alarm schlägt nur an, wenn jemand gegen eine Regel verstößt. Da der Roboter das Brett berühren durfte (es war nur die falsche Art der Berührung für diese spezifische Sicherheitsregel), blieb der Alarm stumm.

Die Lösung: Den Roboter zähmen

Die Lösung bestand nicht darin, eine größere Mauer oder einen lauteren Alarm zu bauen. Es ging darum, dem Roboter einen eigenen kleinen Ausweis zu geben. Die Forscher fanden heraus, dass der Roboter (der DMA-Controller) tatsächlich einen versteckten Schalter in sich trug, den der sichere Koch umlegen konnte.

Durch das Umlegen dieses Schalters konnte die sichere Welt sagen: „Dieser spezifische Roboterarm steht nun unter meiner Kontrolle. Wenn der Hacker versucht, ihn zu steuern, wird er die Anweisungen ignorieren und eine rote Flagge hissen.“

Diese Korrektur war überraschend kostengünstig und einfach. Sie verlangsamte den Koch nicht und erforderte keine neue Hardware. Die Forscher testeten dies, indem sie alle Roboterarme auf dem Chip absicherten. Als sie den Angriff erneut versuchten, weigerte sich der Roboter zu arbeiten, der Alarm ging los und die gefälschte Quittung wurde abgelehnt.

Die wichtigste Lektion

Die wichtigste Erkenntnis aus diesem Papier betrifft nicht nur einen spezifischen Chip oder einen spezifischen Hacker-Trick. Es ist eine Lektion darüber, wie wir über Sicherheit denken.

Lange Zeit gingen Sicherheitsdesigner davon aus, dass man, wenn man das Hauptgehirn (die CPU) schützt, alles schützt. Dieses Papier beweist, dass es auf modernen Chips andere „Hände“ gibt, die in den Speicher greifen, die das Gehirn nicht sieht. Wenn man die Daten eines Computers vertrauen will, darf man nicht nur das Gehirn beobachten; man muss jede Hand beobachten, die die Daten berühren kann.

Die Forscher zeigten, dass das SLAPP-System, wie es veröffentlicht wurde, eine Lücke in seiner Logik aufwies, weil es die „Roboterhände“ vergaß. Sie fanden nicht nur das Loch, sondern zeigten auch exakt auf, wie man es mit einer einfachen, leichtgewichtigen Korrektur flickt. Es ist eine Erinnerung daran, dass in der Welt der winzigen Computer die gefährlichsten Hacker vielleicht nicht diejenigen sind, die an einer Tastatur tippen, sondern die unsichtbaren Roboter, die im Hintergrund arbeiten und darauf warten, dass jemand vergisst, ihren Ausweis zu prüfen.