RunPBA -- Runtime attestation for microcontrollers with PACBTI

Resumo Técnico: RunPBA - Atestação em Tempo de Execução para Microcontroladores com PACBTI

Definição do Problema
Sistemas embarcados são cada vez mais implantados em infraestruturas críticas, mas sua segurança é frequentemente comprometida por restrições intrínsecas, como recursos computacionais limitados e orçamentos energéticos rigorosos. Embora os mecanismos de atestação sejam essenciais para estabelecer a confiança no dispositivo, as soluções tradicionais enfrentam desafios significativos. A atestação de tempo de execução baseada em software introduz frequentemente um overhead de desempenho e consumo de energia proibitivos, tornando-as inadequadas para operações em tempo real. Por outro lado, as soluções baseadas em hardware frequentemente dependem de núcleos de Propriedade Intelectual (IP) customizados ou modificações de hardware especializadas, o que aumenta os custos de fabricação e a complexidade, dificultando a adoção generalizada. Além disso, muitos esquemas de atestação existentes sofrem com o problema de Time-Of-Check Time-Of-Use (TOCTOU), onde um atacante pode comprometer um dispositivo entre a medição de seu estado e a verificação desse estado.

Metodologia
Os autores propõem o RunPBA (Runtime PACBTI Attestation), um sistema de atestação em tempo de execução baseado em hardware projetado especificamente para microcontroladores ARM Cortex-M. O RunPBA aproveita a extensão Pointer Authentication and Branch Target Identification (PACBTI), um recurso nativo disponível em processadores mais recentes, como o Cortex-M85 e o Cortex-M52, em vez de exigir hardware customizado.

A arquitetura do sistema é construída sobre o Trusted Firmware-M (TF-M), utilizando a tecnologia ARM TrustZone para criar um Ambiente de Execução Confiável (TEE). Os princípios centrais do design incluem:

• Enforcement de Integridade de Fluxo de Controle (CFI): O RunPBA utiliza o PACBTI para verificar a integridade do fluxo de execução. A Autenticação de Ponteiro (PA) protege os endereços de retorno (bordas posteriores/backward edges), enquanto a Identificação de Alvo de Desvio (BTI) garante que desvios indiretos aterrem em instruções válidas (bordas anteriores/forward edges).
• Tratamento de Falhas e Rastreabilidade: Quando ocorre uma violação de PACBTI no Ambiente de Processamento Não Seguro (NSPE), o sistema escala a falha para um Hard Fault no Ambiente de Processamento Seguro (SPE). A aplicação RunPBA, atuando como uma Raiz de Confiança de Aplicação (RoT), intercepta essa falha, registra informações críticas de depuração (como o Program Counter e o tipo de falha) no Armazenamento Confiável Interno (ITS) e interrompe a execução do NSPE para evitar explorações adicionais.
• Integração de Atestação: O RunPBA estende o serviço de atestação padrão do TF-M. Ele modifica o token de atestação para incluir uma "reivindicação de ciclo de vida de segurança" que reflete o status atual dos recursos PACBTI e quaisquer falhas de tempo de execução detectadas. Isso permite que um verificador remoto determine se o dispositivo foi comprometido desde a última atestação.
• Gestão de Ciclo de Vida: O sistema introduz um novo estado de ciclo de vida do dispositivo, "NSPE Comprometido", que é acionado após uma falha de PACBTI, impedindo que o dispositivo retorne a um estado seguro até que a falha seja analisada e resolvida.

Principais Contribuições

1. Análise de Ataque: O artigo fornece uma classificação de potenciais ataques contra o PACBTI, incluindo força bruta, geração de PAC maliciosa, ataques de reuso e ataques de canal lateral. Também analisa a vulnerabilidade do BTI a ataques de Programação Orientada a Funções (FOP), observando que, embora o FOP seja teoricamente possível, ele requer cadeias de gadgets específicos e acesso privilegiado que são difíceis de alcançar na prática.
2. Design do Sistema: O design do RunPBA, que integra o monitoramento PACBTI com o TF-M para aplicar CFI e fornecer atestação em tempo de execução sem hardware customizado.
3. Implementação: Uma implementação de prova de conceito do RunPBA como uma RoT de Aplicação dentro do TF-M, incluindo modificações no núcleo do TF-M para lidar com exceções específicas de PACBTI e a geração de tokens de atestação estendidos.
4. Avaliação: Uma avaliação abrangente do desempenho e segurança do sistema usando os benchmarks CoreMark-Pro e BEEBS na arquitetura Cortex-M85.

Resultados
A avaliação demonstra que o RunPBA atinge seu objetivo de baixo overhead enquanto mantém uma segurança robusta:

• Overhead de Desempenho: O sistema impõe um overhead de desempenho de média geométrica de 1,1% no benchmark CoreMark-Pro e 4,7% no benchmark BEEBS. O overhead é impulsionado principalmente pelas instruções adicionais necessárias para a Autenticação de Ponteiro (PAC), enquanto a Identificação de Alvo de Desvio (BTI) tem impacto mínimo, pois é tratada pelo hardware.
• Consumo de Energia: O consumo de energia aumentou aproximadamente 1% (CoreMark-Pro) e 4,7% (BEEBS), correlacionando-se com o overhead de tempo de execução. Os resultados indicam que a implementação de hardware do PACBTI não introduz demandas de energia significativas, apesar de sua natureza criptográfica.
• Tamanho do Código: O aumento no tamanho do firmware foi mínimo, variando de 0,05% a 0,06%, já que o custo principal é a adição de instruções PAC e BTI aos prólogos e epílogos das funções.
• Eficácia de Segurança: Testes funcionais confirmaram que o RunPBA detecta e interrompe a execução com sucesso quando ocorrem violações de PAC ou BTI (por exemplo, ataques de estouro de buffer tentando sequestrar o fluxo de controle), prevenindo a extração de segredos e forçando um reset do dispositivo.

Significância e Alegações
O artigo afirma que o RunPBA representa um passo significativo para a segurança de sistemas embarcados ao preencher a lacça entre a atestação baseada em software e a baseada em hardware customizado. Ao utilizar extensões de processador existentes (PACBTI) em vez de exigir novos núcleos de IP, o RunPBA oferece uma solução de hardware de prateleira (commodity hardware) que é econômica e mais fácil de adotar.

Os autores enfatizam que o RunPBA mitiga efetivamente o problema de TOCTOU ao monitorar continuamente o fluxo de controle e fornecer evidência imediata de comprometimento no token de atestação. Embora o sistema herde certas limitações do PACBTI (como a suscetibilidade a ataques FOP sob condições específicas), os autores argumentam que a combinação do PACBTI com outras medidas (como ASLR e NX) e a dificuldade de construir as cadeias de exploração necessárias torna a solução robusta para implantação no mundo real. O trabalho posiciona o PACBTI como um mecanismo viável para trazer Integridade de Fluxo de Controle de baixo overhead para microcontroladores de baixo custo, um domínio anteriormente subatendido por mecanismos de segurança avançados.