技術概要：サイドチャネル攻撃およびコード再利用攻撃に対する暗号ライブラリの保護

問題定義

暗号ライブラリはサイバーセキュリティの基盤であるが、サイドチャネル攻撃（特にタイミング攻撃）とコード再利用攻撃（Return-Oriented Programming など）という 2 つの主要な攻撃クラスに対して依然として脆弱である。

1. タイミング・サイドチャネル攻撃: これらの攻撃は、秘密依存の分岐、メモリアドレス指定、または可変遅延命令によって引き起こされる実行時間のばらつきを悪用する。物理的なサイドチャネルとは異なり、タイミング攻撃にはデバイスへの物理的なアクセスは不要である。本論文は、開発者がしばしば手動で「定数時間」プログラミングを実装している一方で、汎用コンパイラ（GCC や LLVM など）がコード生成中にこれらの保護を最適化によって除去したり、タイミング漏洩を導入したりする可能性があり、ソースレベルの緩和策が無効化されることを指摘している。
2. コード再利用攻撃: これらの攻撃は、メモリ破損脆弱性（バッファオーバーフローなど）を利用して制御フローを乗っ取る。攻撃者は、ライブラリまたはリンクされたライブラリから既存のコード断片（「ガジェット」）を組み合わせ、悪意のあるペイロードを実行する。多くの人気のある暗号ライブラリは、安全性よりも効率性を優先する汎用コンパイラに依存する安全性の低い言語（C/C++）で記述されており、制御フローの乗っ取りに対して脆弱なままとなっている。

現在の緩和策は断片的である。開発者は、タイミング攻撃に対しては手動のソースコード修正に、コード再利用攻撃に対しては標準的なコンパイラフラグ（スタックキャナリーや ASLR など）に依存している。しかし、これらの対策はしばしば不十分である。手動の修正はエラーを起こしやすく、最適化によって容易に破綻する一方、標準的なコンパイラフラグ（例：-fstack-protector）は、Jump-Oriented Programming (JOP) や微細なコード再利用攻撃のような高度な攻撃に対する保護を保証しない。さらに、ソースレベルの緩和策がコンパイルプロセスを生き延びることを保証するバイナリレベルの検証が欠如している。

手法

著者らは、BearSSL、Botan、cryptlib、Crypto++、GnuTLS、LibreSSL、Libgcrypt、libsodium、Mbed TLS、OpenSSL、wolfTLS という 11 の人気のあるオープンソース暗号ライブラリについて包括的な分析を行った。

1. 緩和策の実証的分析:

   • 著者らは、Ubuntu 18.04 を実行する Intel Core i7 システム上で GCC 7.5.0 および Clang 10.0.1 を使用してこれらのライブラリをコンパイルした。
   • バッファオーバーフローチェック（-DFORTIFY_SOURCE）、スタックキャナリー（-fstack-protector-strong）、位置独立実行（-fPIE）などのセキュリティ対策の存在を特定するために、デフォルトのコンパイルフラグを分析した。
   • これらの知見を、コンパイル後のタイミングテストに関する既存の文献（特に Jancar ら [4]）と照合した。

2. セキュアコンパイルアプローチの評価:
   本論文は、特定されたギャップに対処するために、LLVM インフラストラクチャに統合されているか、または互換性のある 4 つの特定のセキュアコンパイルツールを調査する。

   • SecComp (Vu ら [12]): 「不透明な観測（opaque observations）」（ソースコード注釈）を使用して、コンパイラが定数時間特性を保持することを強制する。
   • Multicompiler (MCR) [13]: コード再利用攻撃を妨げるために、多様なコードバリエーション（スタック配置、関数順序、レジスタ使用）を生成するプログラムランダム化ツールである。
   • SecDivCon [5]: セキュリティポリシー（秘密変数対公開変数）を定義することで、多様化された定数リソースコードを生成する制約ベースのコンパイラバックエンドである。
   • Partial Control-Flow Linearization (PCFL) [14]: LLVM 13 を使用して、非定数時間プログラムを自動的に定数時間同等物に変換する。

主要な貢献

• 脆弱性評価: この研究は、ほとんどの暗号ライブラリがスタックキャナリーを実装している一方で、コード再利用攻撃に対する包括的なコンパイラベースの緩和策を有効にしているライブラリはごくわずかであることを明らかにしている（テストされた構成では libsodium だけがデフォルトで -fPIE を使用している）。重要なのは、11 のライブラリの中で 2 つだけが開発プロセスの一環として定数時間テストを実行しており、コンパイルされたバイナリがタイミング漏洩から自由であることを保証する広範な欠如を示していることである。
• コンパイルギャップの特定: 著者らは、汎用コンパイラがしばしばセキュリティ目標と対立することを示している。最適化フラグは手動の定数時間緩和策を誤って除去する可能性があり、標準的なセキュリティフラグはすべての攻撃ベクトルを網羅していない（例：スタックキャナリーは JOP に対して無効である）。
• セキュアコンパイルの調査: 本論文は、既存のセキュアコンパイルツールの比較分析を提供し、タイミングサイドチャネル（TSC）およびコード再利用攻撃（CRA）の緩和能力、可用性、パフォーマンスオーバーヘッド（実行時間およびコンパイル時間）によって分類している。
• 提案される方向性: 著者らは、手動のソースコード修正からセキュアコンパイルプロセスへの負担の移行を通じて、暗号ライブラリのセキュリティを改善するためのロードマップを概説している。

結果

• ライブラリの現状: ほとんどのライブラリは、バイナリレベルで検証されていない手動の定数時間実装に依存している。スタックキャナリーは広く使用されているが、洗練されたコード再利用攻撃に対しては不十分である。libsodium だけが実行可能ファイルに対して位置独立実行（PIE）を有効にしており、cryptlib だけが -DFORTIFY_SOURCE フラグを使用している。
• ツールのパフォーマンス:
  • SecComp: オーバーヘッドが低く定数時間特性を保持するが、手動の注釈が必要であり、公開されていない。コード再利用攻撃には対処しない。
  • MCR: ランダム化によるコード再利用攻撃に対して効果的であり、コンパイルオーバーヘッドは低い。しかし、タイミングサイドチャネルの緩和に使用されると、実行時間のオーバーヘッドが高くなる（最大 8 倍）。
  • SecDivCon: タイミング攻撃に対する強力な保証と微細な多様化を提供するが、コンパイル時間が長く、小さな関数および特定のアーキテクチャ（MIPS/ARM）に限定される。
  • PCFL: 低コンパイルオーバーヘッドで自動的に定数時間コードを生成するが、実行時間のオーバーヘッドが高く、コード再利用攻撃には対処しない。

意義と主張

本論文は、暗号ライブラリを現代の脅威から保護するために、手動のソースコード緩和策と汎用コンパイラへの現在の依存関係は不十分であると主張する。著者らは以下を主張する。

1. セキュリティは後付けではならない: コンパイルプロセスは、セキュリティ特性がしばしば失われる重要な段階である。セキュリティ要件とコード効率の間のギャップを埋めるためには、セキュアコンパイルアプローチが必要である。
2. 統合されたソリューションの必要性: 既存の単一のツールが、タイミングとコード再利用の両方の問題を効率的に解決するものはない。著者らは、将来の開発が以下の点に焦点を当てるべきであると提案する。
   • コンパイラ開発者: 最適化を制御してセキュリティ特性を保持し、汎用コンパイラに定数時間保持を統合すること。
   • セキュアコンパイラ開発者: 単一のベクトルに焦点を当てるのではなく、複数の緩和策（タイミングと制御フロー）を組み合わせたツールの作成。
   • ライブラリ開発者: セキュアコンパイルアプローチに適応し、ビルドスキームに追加の保護オプションを有効にすること。

本論文は、暗号ライブラリのセキュリティを向上させるには、アドホックな手動修正から、セキュアコンパイル、バイナリレベルの検証、および複数の攻撃者モデルを同時に処理できるツールを組み込んだ開発プロセスへの体系的な移行が必要であると結論づけている。