WATSON: Leveraging Data Watchpoints for Shadow Stack Protection on Embedded Systems
Dit artikel presenteert WATSON, een efficiënt en effectief mechanisme voor shadow stack-bescherming voor ingebouwde systemen dat gebruikmaakt van standaard hardware-data-watchpoints om schrijfbescherming en integriteit van de besturingsstroom af te dwingen zonder afhankelijkheid van gespecialiseerde beveiligingsextensies, waardoor een lage prestatie-overhead wordt bereikt terwijl besturingsstroom-kapingaanvallen effectief worden voorkomen.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je inbeddingssysteem (zoals een slimme thermostaat, een medische monitor of het remsysteem van een auto) voor als een druk kantorencomplex. De software die erin draait is het personeel, en de "stack" is een stapel post-it-notities waarop het personeel noteert waar ze naartoe moeten gaan nadat ze een taak hebben voltooid.
Het Probleem: De Post-it Notitie Kaping
In veel van deze apparaten is de software geschreven in een taal genaamd C. Het is snel en efficiënt, maar het is een beetje zoals een chaotisch kantoor waar iedereen per ongeluk (of kwaadwillig) over de post-it-notities kan krabbelen. Een veelvoorkomende aanval, genaamd een "Return-Oriented Programming" (ROP) aanval, is als een saboteur die zich erin sluist, een notitie met "Ga naar de pauzeruimte" uitveegt en vervangt door "Ga naar de geheime kluis". Wanneer het personeel zijn taak afrondt en naar de notitie kijkt, gaat hij naar de verkeerde plek, en neemt de aanvaller controle over het gebouw over.
Om dit te stoppen, gebruiken beveiligingsexperts een Shadow Stack. Denk hierbij aan een "Hoofdkopie" van de post-it-notities die in een afgesloten glazen kast wordt bewaard die alleen de baas kan openen. Telkens als een medewerker een notitie op de hoofdstapel schrijft, schrijft hij deze ook op de Hoofdkopie. Wanneer ze klaar zijn, controleren ze de Hoofdkopie om te zien waar ze echt naartoe moeten. Als de hoofdnootie "Kluis" zegt maar de Hoofdkopie "Pauzeruimte", weet het systeem dat er iets mis is en stopt de aanval.
De Oude Oplossingen: Te Zwaar of Te Duur
Eerdere pogingen om deze "Hoofdkopieën" voor kleine apparaten te bouwen, hadden grote problemen:
- Ze waren te zwaar: Ze vertraagden het gebouw aanzienlijk (soms met meer dan 500%), waardoor het apparaat te traag werd om bruikbaar te zijn.
- Ze hadden speciale hardware nodig: Ze maakten gebruik van high-tech beveiligingsruimtes (zoals "TrustZone") die veel goedkope apparaten niet hebben.
- Ze lieten gaten achter: Ze vergaten vaak de notities te beschermen die tijdens noodsituaties werden genomen (zoals stroomuitval of systeemalarms), waardoor aanvangers via die achterdeurtjes konden sluipen.
De Nieuwe Oplossing: WATSON
Het artikel introduceert WATSON, een slimme nieuwe manier om dit beveiligingssysteem te bouwen.
De Creatieve Analogie: Het "Waakzame Oog"
In plaats van een nieuwe, dure beveiligingsruimte te bouwen, maakt WATSON gebruik van een gereedschap dat al in het gebouw aanwezig was maar grotendeels genegeerd werd: de Data Watchpoint.
Stel je voor dat het gebouw een set beveiligingscamera's (de hardware-debugunit) heeft die oorspronkelijk alleen was geïnstalleerd zodat het onderhoudspersoneel op lekken of gebroken leidingen kon letten tijdens het repareren. Deze camera's kunnen zo worden geprogrammeerd dat ze "ALARM!" schreeuwen als iemand probeert een specifiek gebied aan te raken.
WATSON herbestemt deze camera's:
- Het Slot: Het richt de camera's op de "Hoofdkopie" (de Shadow Stack).
- De Regel: De camera's zijn ingesteld om een alarm te activeren als iemand probeert de notities te schrijven (wijzigen), behalve op het specifieke moment waarop de baas ze officieel bijwerkt.
- Het Resultaat: Als een hacker probeert zich erin te sluipen en over de Hoofdkopie te krabbelen, schreeuwt de camera "ALARM!" en sluit het gebouw zich onmiddellijk af. Als de baas legitiem de notities bijwerkt, laat de camera het passeren.
Hoe Het Noodsituaties Aanhanteert
Een van de superkrachten van WATSON is dat het niet alleen het reguliere personeel in de gaten houdt, maar ook de Noodhulpverleners (interrupts en uitzonderingen).
- In oude systemen, als er een alarm afging, namen de Noodhulpverleners het over, en konden de beveiligingscamera's in de war raken of worden uitgeschakeld.
- WATSON zorgt ervoor dat zelfs wanneer er een noodgeval plaatsvindt, de "Hoofdkopie" nog steeds beschermd is. Het maakt een snapshot van de nootnotities en controleert deze tegen de Hoofdkopie voordat het personeel weer aan hun normale taken begint.
De Resultaten: Snel, Licht en Veilig
De onderzoekers testten WATSON op echte hardware (zoals de chips die in veel IoT-apparaten worden gebruikt):
- Snelheid: Het vertraagt het gebouw nauwelijks. De controle van de "Hoofdkopie" voegt slechts ongeveer 1,8% tot 7,3% overhead toe. Dit is als het toevoegen van een kleine vertraging aan het openen van een deur – voor de gebruiker onmerkbaar maar cruciaal voor de veiligheid.
- Grootte: Het neemt niet veel ruimte in beslag in het geheugen van het gebouw.
- Compatibiliteit: Omdat het de bestaande "beveiligingscamera's" (debugunits) gebruikt in plaats van nieuwe muren te bouwen, werkt het naast andere beveiligingssystemen zonder conflicten te veroorzaken.
Samenvattend
WATSON is een slimme, lichtgewicht beveiligingsagent voor kleine apparaten. In plaats van dure nieuwe forten te bouwen, gebruikt het de bestaande "beveiligingscamera's" in de chip om de kritieke "Hoofdkopie" van retouradressen in de gaten te houden. Het verhindert dat hackers de bestemmingsnotities wijzigen, zelfs tijdens noodsituaties, terwijl het apparaat snel en soepel blijft draaien.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.