RunPBA -- Runtime attestation for microcontrollers with PACBTI

기술 요약: RunPBA - PACBTI를 이용한 마이크로컨트롤러용 런타임 검증(Runtime Attestation)

문제 정의
임베디드 시스템은 점점 더 중요한 인프라에 배치되고 있으나, 제한된 계산 자원 및 엄격한 에너지 예산과 같은 본질적인 제약으로 인해 보안이 취약해지는 경우가 많습니다. 검증 메커니즘은 장치의 신뢰를 구축하는 데 필수적이지만, 기존의 솔루션들은 상당한 문제에 직면해 있습니다. 소프트웨어 기반의 런타임 검증은 과도한 성능 오버헤드와 에너지 소비를 초래하여 실시간 운영에 부적합합니다. 반대로, 하드웨어 기반 솔루션은 종종 커스텀 지식 재산(IP) 코어나 특수 하드웨어 수정을 요구하며, 이는 제조 비용과 복잡성을 증가시켜 광범위한 도입을 저해합니다. 또한, 기존의 많은 검증 체계는 상태 측정 시점과 검증 시점 사이의 간극을 이용해 공격자가 장치를 침해할 수 있는 시간차 공격(TOCTOU, Time-Of-Check Time-Of-Use) 문제에 취약합니다.

방법론
저자들은 ARM Cortex-M85 및 Cortex-M52와 같은 최신 프로세서에서 사용 가능한 네이티브 기능인 PACBTI(Pointer Authentication and Branch Target Identification) 확장을 활용하여, 커스텀 하드웨어를 요구하지 않고 ARM Cortex-M Cortex-M 마이크로컨트롤러를 위해 설계된 하드웨어 기반 런타임 검증 시스템인 RunPBA(Runtime PACBTI Attestation)를 제안합니다.

시스템 아키텍처는 **Trusted Firmware-M (TF-M)**을 기반으로 구축되며, ARM TrustZone 기술을 활용하여 신뢰 실행 환경(TEE)을 생성합니다. 핵심 설계 원칙은 다음과 같습니다:

• 제어 흐름 무결성(CFI) 강제: RunPBA는 PACBTI를 사용하여 실행 흐름의 무결성을 검증합니다. 포인터 인증(PA)은 리턴 주소(역방향 엣지)를 보호하며, 분기 타겟 식별(BTI)은 간접 분기가 유효한 명령어로 착지하도록 보장합니다(순방향 엣지).
• 결함 처리 및 추적 가능성: 비보안 실행 환경(NSPE)에서 PACBTI 위반이 발생하면, 시스템은 이 결함을 보안 실행 환경(SPE)의 Hard Fault로 격상시킵니다. 애플리케이션 루트 오브 트러스트(Application RoT) 역할을 하는 RunPBA 애플리케이션은 이 결함을 가로채서, 내부 신뢰 저장소(ITS)에 중요한 디버그 정보(프로그램 카운터 및 결함 유형 등)를 기록하고, 추가적인 악용을 방지하기 위해 NSPE 실행을 중단합니다.
• 검증 통합: RunPBA는 표준 TF-M 검증 서비스를 확장합니다. 시스템은 검증 토큰을 수정하여 PACBTI 기능의 현재 상태와 탐지된 런타임 결함을 반영하는 "보안 라이프사이클 클레임(security lifecycle claim)"을 포함하도록 합니다. 이를 통해 원격 검증자는 장치가 마지막 검증 이후에 침해되었는지 여부를 판단할 수 있습니다.
• 라이프사이클 관리: 시스템은 새로운 장치 라이프사이클 상태인 "NSPE 침해됨(NSPE Compromised)"을 도입합니다. 이 상태는 PACBTI 결함 발생 시 트리거되며, 결함이 분석되고 해결될 때까지 장치가 보안 상태로 돌아가는 것을 방지합니다.

주요 기여

1. 공격 분석: 본 논문은 브루트 포스(brute-force), 악의적인 PAC 생성, 재사용 공격, 사이드 채널 공격을 포함하여 PACBTI에 대한 잠재적 공격 분류를 제공합니다. 또한 BTI가 기능 지향 프로그래밍(FOP) 공격에 대해 갖는 취약성을 분석하며, FOP가 이론적으로는 가능하지만 실제 구현 시에는 특정 가젯 체인과 권한 있는 접근이 필요하여 달성하기 어렵다는 점을 명시합니다.
2. 시스템 설계: 커스텀 하드웨어 없이 CFI를 강제하고 런타임 검증을 제공하기 위해 PACBTI 모니터링을 TF-M과 통합한 RunPBA의 설계를 제시합니다.
3. 구현: PACBTI 특화 예외 처리를 위해 TF-M 코어를 수정하고 확장된 검증 토큰을 생성하는 기능을 포함하여, TF-M 내의 Application RoT로서 RunP의 개념 증명(PoC) 구현을 수행했습니다.
4. 평가: Cortex-M85 아키텍처에서 CoreMark-Pro 및 BEEBS 벤치마크 제품군을 사용하여 시스템의 성능과 보안을 종합적으로 평가했습니다.

결과
평가는 RunPBA가 견고한 보안을 유지하면서도 낮은 오버헤드라는 목표를 달성했음을 입증합니다:

• 성능 오버헤드: 시스템은 CoreMark-Pro 벤치마크에서 1.1%, BEEBS 벤치마크에서 **4.7%**의 기하 평균 성능 오버헤드를 발생시킵니다. 오버헤드는 주로 포인터 인증(PAC)을 위한 추가 명령어로 인해 발생하며, BTI는 하드웨어에서 처리되므로 영향이 미미합니다.
• 에너지 소비: 전력 소비는 실행 시간 오버헤드와 상관관계가 있으며, CoreMark-Pro에서 약 1%, BEEBS에서 4.7% 증가했습니다. 결과는 PACBTI의 암호학적 특성에도 불구하고 하드웨어 구현이 상당한 추가 에너지 수요를 유발하지 않음을 나타냅니다.
• 코드 크기: 주요 비용은 함수의 프롤로그와 에필로그에 PAC 및 BTI 명령어를 추가하는 것이므로, 펌웨어 크기 증가는 0.05%에서 0.06% 사이로 매우 미미했습니다.
• 보안 효능: 기능 테스트를 통해 제어 흐름을 탈취하려는 버퍼 오버플로 공격(예: PAC 또는 BTI 위반)이 발생할 때 RunPBA가 성공적으로 이를 탐지하고 실행을 중단하여, 비밀 정보 추출을 방지하고 장치 리셋을 강제함을 확인했습니다.

의의 및 주장
본 논문은 RunPBA가 소프트웨어 기반 및 커스텀 하드웨어 기반 검증 사이의 간극을 메움으로써 임베디드 시스템 보안의 중요한 진전을 이루었다고 주장합니다. 새로운 IP 코어를 요구하는 대신 기존 프로세서 확장 기능(PACBTI)을 활용함으로써, RunPBA는 비용 효율적이고 도입이 용이한 범용 하드웨어(commodity hardware) 솔루션을 제공합니다.

저자들은 RunPBA가 제어 흐름을 지속적으로 모니터링하고 검증 토큰에 침해 증거를 즉각적으로 제공함으로써 TOCTOU 문제를 효과적으로 완화한다고 강조합니다. 시스템이 특정 조건 하에서의 FOP 공격과 같은 PACBTI의 한계를 일부 물려받기는 하지만, 저자들은 ASLR 및 NX와 같은 다른 보안 조치와의 결합 및 필요한 익스플로잇 체인을 구성하는 것의 어려움을 근거로 본 솔루션이 실제 배포에 있어 견고하다고 주장합니다. 이 연구는 PACBTI를 고급 보안 메커니즘이 부족했던 저사양 마이크로컨트롤러 영역에 저오버헤드 제어 흐름 무결성을 도입할 수 있는 유망한 메커니즘으로 자리매김하게 합니다.