技術概要: T¨AMU: (GlobalPlatform)-APIレイヤーにおける信頼されたアプリケーションの模倣

問題提起

モバイルデバイスは、信頼されたアプリケーション（Trusted Application: TA）として知られるセキュリティクリティカルなコードを実行するために、信頼実行環境（Trusted Execution Environment: TEE）に依存しています。これらのTAにおける脆弱性は、システム全体を侵害する可能性があります。しかし、以下の2つの主要な要因により、TEEエコシステムにおけるファジングやデバッグといった動的解析手法は著しく阻害されています：

1. クローズドソースの性質: TEE内では正しく署名されたコードのみが実行可能であるため、物理デバイス上でのイントロスペクション（内部調査）や動的解析が困難です。
2. 異種混在と断片化: TEEの実装はベンダー間（例：SamsungのTEEGris対XiaomiのMiTEE）で大きく異なり、異なるオペレーティングシステム（TOS）、ランタイム、およびシステムコールインターフェースを利用しています。

PartEmuのようなフルシステムエミュレーションによる過去の試みは、独自のTOSの詳細を必要とし、再現性に欠けます。ユーザーモードエミュレーションのアプローチは、多くの場合、APIやシステムコールの場当たり的な組み合わせに依存しており、異なるTEE間でのスケーラビリティに欠けています。その結果、解析の取り組みは主に静的解析に限定されており、多くの脆弱性が未検出のまま放置されています。

メソドロジー

本論文では、APIレイヤーでTAの実行を介在させることで、TAの動的解析を可能にするリホスティングプラットフォームである T¨AMU を提示します。このメソドロジーは、以下の2つのコアコンセプトに基づいています。

1. 標準化によるAPIレベルのインターセプト

T¨AMUは、GlobalPlatform (GP) 仕様によって推進されているTEE APIの標準化を活用します。

• GPおよびlibc API: 本システムは、TAの相互作用の大部分が、標準化されたGP Internal Core APIおよび標準的なlibc関数を通じて行われることを特定しています。T¨AMUは、これらのAPI呼び出しをインターセプトする仮想TEEを実装しています。
• インターセプトメカニズム: プラットフォームは、エミュレータコア（Qiling/Unicorn上に構築）にTAバイナリ（ELFファイル）をロードします。動的リンクされたTAについてはGlobal Offset Tableを、静的リンクされたTAについては特定の関数アドレスをフックすることで、API呼び出しをインストルメント化します。TAがAPIを呼び出すと、実行はT¨AMUの仮想TEEへとリダイレクトされ、関数を実行前に再実装したバージョンを提供してから実行を再開します。
• 状態管理: システムは、ステートレスなAPI（例：memcmp）とステートフルなAPI（例：メモリ割り当て、暗号化）を区別し、正確なエミュレーションを確実にするために内部状態を追跡します。

2. グリーディ高レベルエミュレーション (Greedy HLE)

残された TEE固有のAPI（公開仕様がなく、手動のリバースエンジニアリングを必要とするもの）に対処するため、T¨AMUは Greedy HLE を導入しています。

• 問題: すべてのプロプライエタリなAPIを忠実にエミュレートすることは、極めて困難です。
• 解決策: Greedy HLEは、静的解析を用いて、ファジング中のコードカバレッジを向上させる可能性に基づいて、どのTEE固有APIを実装すべきかを優先順位付けします。
• アルゴリズム:
  1. TAコーパスに対して、インタープロシージャル制御フローグラフ（ICFG）を構築する。
  2. 実装されたAPIの集合の関数として、基本ブロックの「到達可能性」を計算する。
  3. 最大限の新しい到達可能基本ブロックをアンロックするTEE固有のAPIを、反復的に選択する。
  4. このグリーディなアプローチにより、高インパクトなAPIに焦点を当てることで、最小限の手動作業で高いカバレッジを実現できます。

実装の詳細

• プラットフォーム: Qiling（UnicornのPythonラッパー）上に構築されており、約6,000行のコードで構成されています。
• ファジングの統合: AFL++をサポートしており、ファジング入力をTAのコマンドエントリポイント（TA_InvokeCommandEntryPoint）へとデシリアライズするハーネスを備えています。
• デバッグ: GDBと統合されており、アナリストがエミュレートされたTAにアタッチし、ブレークポイントを設定し、レジスタやメモリを検査することを可能にします。
• 脆弱性のエミュレーション: 通常世界（Normal World）とセキュア世界（Secure World）の間の共有メモリ相互作用をモデル化することにより、パラメータ型の混乱（Type Confusion）やTime-of-Check to Time-of-Use (TOCTTOU) バグを含む、特定の脆弱性クラスを忠実にエミュレートします。

主な貢献

1. 原理的なHLEアプローチ: T¨AMUは、GlobalPlatform APIの採用拡大による規模の経済を活用し、APIレイヤーでTAに対して高レベルエミュレーション（HLE）を適用した最初のシステムです。
2. Greedy HLE技術: プロプライエタリなTEE固有APIの手動リホスティングを優先するためのデータ駆動型メソドロジーを提案し、エンジニアリングの労力を最小限に抑えつつ、カバレッジの収益を最大化します。
3. オープンソースの実装: 著者らは、4つの異なるTEE（TEEGris, MiTEE, Beanpod, T6）にわたるTAを実行可能なT¨AMUを実装しました。本システムはオープンソースであり、統合されたファジングコンポーネントも含まれています。

結果

著者らは、エミュレーション、ファジング、およびデバッグキャンペーンを通じてT¨AMUを評価しました。

• スケーラビリティ: T¨AMUは、4つの異なるTEEにわたる 67個のTA のエミュレーションに成功しました。
• カバレッジ:
  • 標準的なGPおよびlibc APIのみを実装した場合、到達可能な基本ブロックの 39% のエミュレーションが可能でした。
  • (Greedy HLEにより特定された) わずか 10個 の高インパクトなTEE固有APIを実装することで、データセット全体で 90% の到達可能基本ブロックを達成しました。
  • 分析の結果、最もインパクトの大きいTEE固有APIの 70% は、既存のGPまたはlibcの機能で代替可能であることが示され、標準化への道筋が示唆されました。
• 脆弱性の発見:
  • 再現: T¨AMUは、パラメータ型の混乱、スタック/ヒープオーバーフロー、TOCTTOUバグを含む、6個 の既知の（n-day）脆弱性の再現に成功しました。
  • 発見: 30個のTAを対象としたファジングキャンペーンにより、11個のTAにわたって 17個のゼロデイ脆弱性 が発見されました。
  • デバイス検証: 17個のゼロデイ脆弱性のうち、11個 は市販の（COTS）物理デバイス上で再現することに成功しました。
• デバッグ: 本システムは、パラメータ型の混乱バグ（CVE-2023-32835）のエクスプロイトをデバッグおよび洗練するために使用され、スタックベースのハイジャックを、任意メモリ読み取りのための信頼できるGlobal Offset Table（GOT）上書きプリミティブへと変貌させました。

意義と主張

本論文は、T¨AMUがTEEエコシステムの決定的な欠陥、すなわち効果的な動的解析能力の欠如に対処していると主張しています。著者らは、ソースコードを公開しているベンダーであっても、自身のためにこれらの機能を提供していないことを指摘しています。

T¨AMUの意義は、以下の点にあります：

1. ギャップを埋める: フルシステムエミュレーションや独自のTOSソースコードへのアクセスを必要とせずに、モバイルTEEドメインに実用的かつ効果的な動的解析（ファジングおよびデバッグ）をもたらすこと。
2. 実現可能性の証明: TEEエコシステムのGlobalPlatform APIへの収束が、大規模なクロスベンダー・エミュレーションを可能にすることを証明すること。
3. 労力の優先順位付け: プロプライエタリなAPIのリホスティングに対する「グリーディ」なアプローチが、管理可能な手動作業で高いカバレッジを生み出せることを示すこと。

著者らは、T¨AMUが、静的解析のみの分析から、信頼されたアプリケーションに対する能動的な動的セキュリティテストへの転換を象徴するものであると結論付けています。これにより、本来であれば隠れたままとなるはずの重大な脆弱性を明らかにすることが可能になります。