RunPBA -- Runtime attestation for microcontrollers with PACBTI

Sintesi Tecnica: RunPBA - Attestazione in Tempo Reale per Microcontrollori con PACBTI

Problematica
I sistemi embedded sono sempre più impiegati in infrastrutture critiche, eppure la loro sicurezza è spesso compromessa da vincoli intrinseci quali risorse computazionali limitate e budget energetici rigorosi. Sebbene i meccanismi di attestazione siano essenziali per stabilire l'affidabilità del dispositivo, le soluzioni tradizionali affrontano sfide significative. L'attestazione runtime basata su software introduce spesso un overhead prestazionale e un consumo energetico proibitivi, rendendoli inadatti alle operazioni in tempo reale. Al contrario, le soluzioni basate su hardware dipendono frequentemente da core di Proprietà Intellettuale (IP) personalizzati o modifiche hardware specializzate, il che aumenta i costi di produzione e la complessità, ostacolandone l'adozione diffusa. Inoltre, molti schemi di attestazione esistenti soffrono del problema TOCTOU (Time-Of-Check Time-Of-Use), in cui un attaccante può compromettere un dispositivo tra la misurazione del suo stato e la verifica di tale stato.

Metodologia
Gli autori propongono RunPBA (Runtime PACBTI Attestation), un sistema di attestazione runtime basato su hardware progettato specificamente per i microcontrollori ARM Cortex-M. RunPBA sfrutta l'estensione PACBTI (Pointer Authentication and Branch Target Identification), una funzionalità nativa disponibile in processori più recenti come il Cortex-M85 e il Cortex-M52, anziché richiedere hardware personalizzato.

L'architettura del sistema si basa su Trusted Firmware-M (TF-M), utilizzando la tecnologia ARM TrustZone per creare un Ambiente di Esecuzione Fidato (TEE). I principi chiave del design includono:

• Enforcement della Control-Flow Integrity (CFI): RunPBA utilizza PACBTI per verificare l'integrità del flusso di esecuzione. La Pointer Authentication (PA) protegge gli indirizzi di ritorno (backward edges), mentre la Branch Target Identification (BTI) assicura che i salti indiretti approdino su istruzioni valide (forward edges).
• Gestione dei Fault e Tracciabilità: Quando si verifica una violazione PACBTI nell'Ambiente di Elaborazione Non Sicuro (NSPE), il sistema scala il fault a un Hard Fault nell'Ambiente di Elaborazione Sicuro (SPE). L'applicazione RunPBA, agendo come Application Root of Trust (RoT), intercetta questo fault, registra informazioni di debug critiche (come il Program Counter e il tipo di fault) nella Internal Trusted Storage (ITS) e arresta l'esecuzione del NSPE per prevenire ulteriori sfruttamenti.
• Integrazione dell'Attestazione: RunPBA estende il servizio di attestazione standard di TF-M. Modifica il token di attestazione per includere una "security lifecycle claim" che riflette lo stato attuale delle funzionalità PACBTI e qualsiasi fault rilevato durante l'esecuzione. Ciò consente a un verificatore remoto di determinare se il dispositivo è stato compromesso dall'ultima attestazione.
• Gestione del Ciclo di Vita: Il sistema introduce un nuovo stato del ciclo di vita del dispositivo, "NSPE Compromised", che viene attivato in seguito a un fault PACBTI, impedendo al dispositivo di tornare a uno stato sicuro finché il fault non viene analizzato e risolto.

Contributi Chiave

1. Analisi degli Attacchi: Il documento fornisce una classificazione dei potenziali attacchi contro PACBTI, inclusi brute-force, generazione di PAC malevola, attacchi di riutilizzo e attacchi side-channel. Analizza inoltre la vulnerabilità di BTI agli attacchi di Function Oriented Programming (FOP), notando che, sebbene l'FOP sia teoricamente possibile, richiede catene di gadget specifiche e accessi privilegiati che sono difficili da ottenere nella pratica.
2. Design del Sistema: Il design di RunPBA, che integra il monitoraggio PACBTI con TF-M per imporre la CFI e fornire l'attestazione runtime senza hardware personalizzato.
3. Implementazione: Una implementazione proof-of-concept di RunPB come Application RoT all'interno di TF-M, inclusa la modifica del core di TF-M per gestire le eccezioni specifiche di PACBTI e la generazione di token di attestazione estesi.
4. Valutazione: Una valutazione completa delle prestazioni e della sicurezza del sistema utilizzando le suite di benchmark CoreMark-Pro e BEEBS sull'architettura Cortex-M85.

Risultati
La valutazione dimostra che RunPBA raggiunge il suo obiettivo di basso overhead mantenendo una robusta sicurezza:

• Overhead Prestazionale: Il sistema impone un overhead prestazionale medio geometrico dell'1,1% sul benchmark CoreMark-Pro e del 4,7% sul benchmark BEEBS. L'overhead è guidato principalmente dagli istruzioni aggiuntive richieste per la Pointer Authentication (PAC), mentre la Branch Target Identification (BTI) comporta un impatto minimo poiché gestita dall'hardware.
• Consumo Energetico: Il consumo di potenza è aumentato di circa l'1% (CoreMark-Pro) e del 4,7% (BEEBS), in correlazione con l'overhead del tempo di esecuzione. I risultati indicano che l'implementazione hardware di PACBTI non introduce richieste energetiche significative nonostante la sua natura crittografica.
• Dimensione del Codice: L'incremento della dimensione del firmware è stato minimo, compreso tra lo 0,05% e lo 0,06%, poiché il costo principale è l'aggiunta di istruzioni PAC e BTI ai prologhi e agli epiloghi delle funzioni.
• Efficacia della Sicurezza: I test funzionali hanno confermato che RunPBA rileva con successo e arresta l'esecuzione quando si verificano violazioni PAC o BTI (ad esempio, attacchi di buffer overflow che tentano di dirottare il flusso di controllo), prevenendo l'estrazione di segreti e forzando un reset del dispositivo.

Significatività e Rivendicazioni
Il documento sostiene che RunPBA rappresenti un passo avanti significativo nella protezione dei sistemi embedded, colmando il divario tra l'attestazione basata su software e quella basata su hardware personalizzato. Utilizzando estensioni di processore esistenti (PACBTI) invece di richiedere nuovi core IP, RunPBA offre una soluzione di hardware commodity che è conveniente e facile da adottare.

Gli autori sottolineano che RunPBA mitiga efficacemente il problema TOCTOU monitorando continuamente il flusso di controllo e fornendo evidenza immediata della compromissione nel token di attestazione. Sebbene il sistema erediti certe limitazioni di PACBTI (come la suscettibilità agli attacchi FOP in condizioni specifiche), gli autori sostengono che la combinazione di PACBTI con altre misure di sicurezza (come ASLR e NX) e la difficoltà di costruire le necessarie catene di exploit rendano la soluzione robusta per l'impiego nel mondo reale. Il lavoro posiziona PACBTI come un meccanismo vitale per portare la Control-Flow Integrity a basso overhead ai microcontrollori di fascia bassa, un dominio precedentemente trascurato dai meccanismi di sicurezza avanzati.