Branch Landing: Bloom Filter-Based Source Authorization for Forward-Edge CFI on RISC-V

Technische Samenvatting: Branch Landing (BRL)

1. Het Probleem: De "Source-Authorization Gap"

Huidige mechanismen voor Control-Flow Integrity (CFI) die gericht zijn op de "forward-edge" (indirecte sprongen zoals functieaanroepen) hebben een fundamenteel gebrek aan precisie wat betreft de bron van de sprong. Dit maakt systemen kwetsbaar voor Jump-Oriented Programming (JOP) aanvallen.

Het paper identificeert twee tekortkomingen in bestaande methoden:

• Type-based CFI (bijv. Clang CFI): Deze controleert alleen of de functie-handtekening (type) van de aanroeper overeenkomt met het doel. Dit is te grofmazig: alle aanroepers met hetzelfde type worden toegelaten, zelfs als ze in de context van de specifieke aanroep niet legitiem zijn.
• Tag-based Hardware CFI (bijv. Bratter): Deze gebruikt registers om unieke tags toe te wijzen aan bronnen. Echter, omdat deze registers een beperkte breedte en een vast aantal slots hebben, is er een harde limiet aan het aantal unieke bronnen dat tegelijkertijd geautoriseerd kan worden voor een bepaald doel.

2. Methodologie: Bloom Filter-gebaseerde Autorisatie

De auteurs stellen Branch Landing (BRL) voor, een framework dat de controle verschuift van een rigide "gelijke-teken-check" (is tag A gelijk aan tag B?) naar een flexibele set-membership query (behoort bron A tot de toegestane set voor doel B?).

Kerncomponenten:

• Bloom Filters: In plaats van tags in registers op te slaan, gebruikt BRL Bloom filters om de set van geautoriseerde bronnen (SIDs - Section Identifiers) per landingsplaats te representeren. Dit maakt de capaciteit onafhankelijk van de registerbreedte; een Bloom filter kan een willekeurig groot aantal bronnen coderen met een vaste controle-latentie.
• Nieuwe ISA-extensies voor RISC-V:
  • bld (Branch Landing Descriptor): Wordt vlak voor een indirecte sprong ingevoegd. Het schrijft een bron-SID naar een speciaal architecturaal register, BRState.
  • brl (Branch Landing Verification): Wordt op de landingsplaats (het doel) ingevoegd. Het controleert of de SID in BRState een lid is van de Bloom filter die bij dat doel hoort.
• BRState Register: Een speciaal register dat de geldigheid (valid bit) en de huidige SID bijhoudt. Dit register is "single-use": na een succesvolle brl wordt de valid bit gewist, wat hergebruik van autorisatie door aanvallers voorkomt.

Beleid-agnostisch ontwerp:
Het systeem is flexibel en kan verschillende beleidsregels ondersteunen door enkel de manier waarop de Bloom filters worden gegenereerd aan te passen:

1. BRL-Func: Functie-niveau (vergelijkbaar met type-based CFI).
2. BRL-CFG: Basic-block niveau (gebaseerd op de Control-Flow Graph), wat veel fijnmaziger is en alleen paden toestaat die daadwerkelijk in de code bestaan.

3. Belangrijkste Bijdragen

• Schaalbare bron-autorisatie: Door Bloom filters te gebruiken, heft BRL de beperking op van een vast aantal "tag-slots" in hardware.
• Configurabele granulariteit: Het systeem ondersteunt alles van grove module-gebaseerde controle tot zeer fijne basic-block-gebaseerde controle binnen dezelfde hardware-architectuur.
• Efficiënte implementatie: De verificatie via Bloom filters heeft een vaste latentie (het aantal hash-operaties is constant), ongeacht hoe groot de set toegestane aanroepers is.

4. Resultaten

Het framework is geëvalueerd op de BEEBS benchmark suite met gebruik van de Spike RISC-V simulator.

• Prestaties (Runtime Overhead): Onder een optimistisch model (3 cycli voor brl) is de overhead extreem laag: slechts 0,210% voor BRL-Func en 0,421% voor BRL-CFG. Zelfs bij een conservatief model (10 cycli) blijft de overhead onder de 1,3%.
• Code Grootte: De groei van de binaire bestanden is minimaal (gemiddeld 0,46% tot 0,52%).
• Beveiligingsprecisie: Het BRL-CFG beleid verkleint de equivalence class size (het aantal mogelijke legitieme doelen voor een aanroeper) met 32,5% ten opzichte van het type-based beleid, wat de aanvalsoppervlakte voor een JOP-aanvaller aanzienlijk verkleint.
• Betrouwbaarheid: Er werden nul false positives (onterechte blokkades van legitieme code) waargenomen tijdens alle tests.

5. Betekenis

Branch Landing biedt een oplossing voor een kritiek beveiligingsgat in moderne processors. Waar eerdere methoden ofwel te grofmazig waren (type-based) ofwel niet schaalbaar (tag-based), biedt BRL een methode om zeer fijnmazige, context-gevoelige controle-flow integriteit te bieden met een verwaarloosbare impact op de snelheid en de grootte van de software. Het legt een fundament voor robuustere forward-edge bescherming op RISC-V architecturen.