State Authenticity under Multiple Bus Masters: A Non-Secure DMA Gap and Mitigation for TrustZone-M Proofs of Executio

Stel je een wereld voor waarin overal kleine, goedkope computers verspreid liggen—in je slimme thermostaat, je fitness tracker en zelfs in de sensoren op een fabrieksvloer. Deze kleine apparaten horen eerlijke rapporteurs te zijn die gegevens terugsturen, zoals temperatuurmetingen of bewegingsaantallen. Maar wat als een hacker één van deze apparaten overneemt en begint te liegen, door valse gegevens in een enorme clouddatabase te voeren? Om dit te stoppen, gebruiken we een digitaal "bewijs van uitvoering" (proof of execution). Denk aan een digitale notaris voor computers: het apparaat ondertekent een bonnetje met de tekst: "Ik beloof dat ik deze specifieke wiskundige berekening precies heb uitgevoerd zoals gevraagd, zonder dat iemand met de cijfers heeft geknoeid."

Hiervoor heeft het apparaat twee dingen nodig: een veilige manier om te bewijzen dat het de juiste code heeft uitgevoerd, en een manier om te bewijzen dat de gegevens die het gebruikte (de "state") niet zijn aangepast. Het papier waar we het over hebben, kijkt naar een specifieke, hoogtechnologische versie van dit bewijssystem genaamd TrustZone-M, dat is ingebouwd in veel moderne microchips. Het is als een superveilige kluis binnen de chip die "vertrouwde" taken scheidt van "onvertrouwde" taken. De grote vraag is: als een hacker inbreekt in de "onvertrouwde" kant, kan hij dan stiekem de gegevens veranderen terwijl de computer de berekening uitvoert, om het systeem zo te misleken een vals bonnetje te ondertekenen? Dit onderzoek onderzoekt of de huidige regels van de kluis sterk genoeg zijn om een sluwe, onzichtbare helper tegen te houden die gegevens kan schrijven zonder dat de hoofdcomputer het merkt.

---

De Onzichtbare Pen: Hoe een "Ghost" Hacker een Veilige Chip Bedroog

In het hooggestane spel van embedded security stelden onderzoekers onlangs een slim schema voor genaamd SLAPP (Stateful Proofs of Execution). Stel je SLAPP voor als een zeer strikte bibliothecaris die wil verifiëren dat een student (het apparaat) een wiskundig probleem correct heeft opgelost. De bibliothecaris controleert twee dingen: eerst, of de student het juiste tekstboek heeft gebruikt (de code), en tweede, of de student niet heeft valsgespeeld door de cijfers in zijn schrift te veranderen (de state) terwijl hij de opdracht oploste.

De logica van de bibliothecaris was simpel en leek waterdicht: "Als de student probeert de cijfers in zijn schrift te veranderen, moet hij eerst het tekstboek openen om de instructies te vinden over hoe hij dat moet doen. Maar aangezien we een magische scanner hebben die het tekstboek in de gaten houdt, zou elke wijziging aan de instructies onmiddellijk worden opgemerkt. Daarom, als het tekstboek er perfect uitziet, moeten de cijfers in het schrift ook eerlijk zijn."

Dit onderzoek trekt echter het gordijn opzij om een fout in die logica te onthullen. De onderzoekers ontdekten dat de "student" niet de enige is die in het schrift kan schrijven. Er is een tweede, onzichtbare schrijver: een DMA-controller (Direct Memory Access).

De "Ghost" Schrijver

Om de DMA te begrijpen, stel je de hoofdprocessor (de CPU) van de computer voor als een drukke chef die groenten snijdt. De chef is de enige die de snijplank (het geheugen) in de keuken mag aanraken. De chef wordt in de gaten gehouden door een beveiligingscamera (de TrustZone-M isolatie) die ervoor zorgt dat niemand anders de plank mag aanraken.

Maar wacht! Er zit een robotarm (de DMA-controller) in de keuken. De robot is geprogrammeerd om ingrediënten automatisch van de koelkast naar de snijplank te verplaatsen. De beveiligingscamera kijkt alleen naar de handen van de chef. De camera weet niet eens dat de robot bestaat. De robot kan over de plank reiken, een zak bloem pakken en die op de snijplank storten terwijl de chef druk bezig is met snijden. De chef ziet de robot nooit, en de beveiligingscamera knippert niet omdat de handen van de chef niet bewogen hebben.

In de wereld van het SLAPP-beveiligingsschema is de "robot" de DMA-controller. De onderzoekers ontdekten dat het beveiligingssysteem alleen de chef (de CPU) in de gaten hield. Het ging ervan uit dat als het receptenboek (programmageheugen) niet gewijzigd werd, niemand de ingrediënten (de state) kon veranderen. Maar de robot kon de ingrediënten veranderen zonder het receptenboek aan te raken.

De Aanval: Een Stille Vergiftiging

De onderzoekers zetten een test op een echte chip (een STM32L5 microcontroller) om te zien of deze "ghost" schrijver het systeem daadwerkelijk kon breken. Ze creëerden een scenario waarin een hacker, die al controle had over het "onvertrouwde" deel van de chip, de DMA-robot gebruikte om midden in de berekening een legitiem getal te vervangen door een vals getal.

Zo ging de truc in zijn werk:

1. De Controle: Het beveiligde deel van de chip controleerde het schrift en zag dat de cijfers schoon waren. Het gaf een duim omhoog.
2. De Wissel: Onmiddellijk na de controle, maar voordat het definitieve resultaat werd ondertekend, schoof de DMA-robot binnen en verving het getal door een "vergiftigd" getal.
3. De Handtekening: De chip voltooide de berekening met het vergiftigde getal en ondertekende het bonnetje.
4. Het Resultaat: De beveiligingscamera keek naar het receptenboek, zag dat het ongeschonden was, en accepteerde het bonnetje als geldig.

Het resultaat was een "bewijs van uitvoering" dat wiskundig gezien geldig was, maar feitelijk een leugen was. Het systeem certificeerde een resultaat gebaseerd op gegevens die waren gemanipuleerd, terwijl de hoofdcomputer dacht dat alles in orde was.

Waarom de Gebruikelijke Verdedigingsmechanismen Faalden

De onderzoekers vroegen zich vervolgens af: "Waarom heeft de ingebouwde beveiliging van de chip dit niet gestopt?" Ze probeerden drie standaardverdedigingen, en elk faalde om een verschillende, opmerkelijke reden:

1. De "Lock the Robot" Poging: Ze probeerden het beveiligingssysteem te vertellen de robotarm te blokkeren. Maar het systeem zei: "Ik controleer geen robots; ik controleer alleen de chef." De beveiligingspoort was simpelweg niet van toepassing op de robot.
2. De "Lock the Table" Poging: Ze probeerden de snijplank te vergrendelen zodat niemand er aan kon komen. Maar dit was te streng! De chef moest ook op de plank kunnen schrijven. Als ze de plank vergrendelden, kon de chef zijn werk niet doen en kwam het hele systeem tot stilstand.
3. De "Alarm" Poging: Ze probeerden een alarm in te stellen dat zou afgaan als de robot de plank aanraakte. Maar het alarm gaat alleen af als iemand een regel overtreedt. Omdat de robot toestemming had om de plank aan te raken (het was slechts het verkeerde soort aanraking voor deze specifieke beveiligingsregel), bleef het alarm stil.

De Oplossing: De Robot Temmen

De oplossing was niet het bouwen van een grotere muur of een luider alarm. Het was om de robot een eigen beveiligingsbadge te geven. De onderzoekers ontdekten dat de robot (de DMA-controller) eigenlijk een verborgen schakelaar in zich had die door de beveiligde chef omgezet kon worden.

Door deze schakelaar om te zetten, kon de beveiligde wereld zeggen: "Deze specifieke robotarm staat nu onder mijn controle. Als de hacker probeert hem aan te sturen, zal hij de hacker negeren en een rood vlaggetje hijsen."

Deze oplossing was verrassend goedkoop en eenvoudig. Het vertraagde de chef niet en vereiste geen nieuwe hardware. De onderzoekers testten dit door alle robotarmen op de chip te beveiligen. Toen ze de aanval opnieuw probeerden, weigerde de robot te bewegen, ging het alarm af en werd het valse bonnetje afgewezen.

De Belangrijkste Les

De belangrijkste les van dit papier gaat niet alleen over één specifieke chip of één specifieke hacker-truc. Het is een les over hoe we over beveiliging denken.

Lange tijd gingen beveiligingsontwerpers ervan uit dat als je het hoofdbrein (de CPU) beschermt, je alles beschermt. Dit papier bewijst dat er op moderne chips andere "handen" zijn die in het geheugen grijpen zonder dat het brein dit ziet. Als je de gegevens van een computer wilt vertrouwen, kun je niet alleen het brein in de gaten houden; je moet elke hand in de gaten houden die de gegevens kan aanraken.

De onderzoekers lieten zien dat het SLAPP-systeem, zoals het was gepubliceerd, een gat in de logica had omdat het de "robothanden" was vergeten. Ze vonden niet alleen het gat; ze lieten precies zien hoe ze het konden repareren met een eenvoudige, lichte fix. Het is een herinnering dat in de wereld van kleine computers de gevaarlijkste hackers misschien niet degenen zijn die op een toetsenbord typen, maar de onzichtbare robots die op de achtergrond werken, wachtend op het moment dat iemand vergeet hun legitimatie te controleren.