基于Intel SGX的实用飞地恶意软件
密码学与安全
2019-02-12 v1
摘要
现代CPU架构以飞地（enclave）的形式为用户应用提供强隔离保证。例如，Intel的SGX威胁模型假设飞地完全可信，但关于该威胁模型是否现实的争论仍在持续。具体而言，飞地恶意软件能在多大程度上危害系统尚不清楚。在这项工作中，我们实际演示了首个完全且隐蔽地冒充其宿主应用的飞地恶意软件。结合个人计算机上部署不佳的应用隔离，此类恶意软件不仅可以窃取或加密文档以进行勒索，还可以代表用户行事，例如发送钓鱼邮件或发动拒绝服务攻击。我们的SGX-ROP攻击使用新的基于TSX的内存泄露原语和任意写原语，从飞地内部构造代码复用攻击，随后被宿主应用无意执行。借助SGX-ROP，我们绕过了ASLR、栈保护canary和地址消毒剂。我们证明，SGX非但没有保护用户免受危害，目前反而构成了安全威胁，助长了具有现成可利用漏洞的所谓超级恶意软件。凭借我们的结果，我们力求揭开飞地恶意软件威胁的神秘面纱，并为未来针对飞地恶意软件的研究与防御奠定坚实基础。
引用
@article{arxiv.1902.03256,
title = {Practical Enclave Malware with Intel SGX},
author = {Michael Schwarz and Samuel Weiser and Daniel Gruss},
journal= {arXiv preprint arXiv:1902.03256},
year = {2019}
}