Penelitian dalam "Melindungi" Intel SGX Enclaves dari Malware

Hallo,

Selamat malam teman-teman.. 

Pada artikel malam ini ada topik yang menarik terkait teknologi Intel® SGX is a CPU-based, yaitu Penelitian dalam "Melindungi" Intel SGX Enclaves dari Malware. Dalam penelitiannya Cybersecurity ternyata telah menemukan cara untuk menyembunyikan kode yang berbahaya di Intel SGX enclave, fitur enkripsi memori ini berbasis perangkat keras dalam prosesor modern yang mengisolasi kode serta data sensitif untuk melindunginya dari pengungkapan atau modifikasi.

Dengan kata lain, teknik ini memungkinkan penyerang untuk menanamkan kode malware dalam memori yang aman dengan menggunakan fitur perlindungan SGX yang jika tidak dirancang untuk melindungi data penting dari pengintaian mata atau dari perusakan, bahkan pada sistem yang dikompromikan.

Diperkenalkan dengan prosesor Skylake Intel, SGX (Software Guard Extensions) memungkinkan pengembang untuk menjalankan modul aplikasi yang dipilih dalam wilayah memori aman yang sepenuhnya terisolasi, yang disebut enklaf, yang dirancang untuk dilindungi dari proses yang berjalan pada tingkat privilege lebih tinggi seperti sistem operasi, kernel , BIOS, SMM, hypervisor, dll

Tetapi teman-teman, tim peneliti juga, menemukan kelemahan atau celah pada Spectre-Meltdown CPU, berhasil mem-bypass perlindungan ini dan mendapatkan malicious application milik mereka sendiri di secure enclaves dengan memanfaatkan teknik kuno return-oriented programming (ROP).

Serangan itu juga menggunakan Transactional Synchronization eXtensions (TSX), yang ditemukan di CPU Intel modern, bersamaan dengan teknik primitif atau jadul fault-resistant read yang disebut TSX-based Address Probing (TAP).

TAP menggunakan TSX untuk menentukan apakah alamat virtual dapat diakses oleh proses saat ini, dan eksplorasi memori ini tidak dapat dideteksi karena aplikasi tingkat sistem operasi tidak dapat melihat ke dalam enclaves, dengan sengaja.

"Our SGX-ROP attack uses new TSX-based memory-disclosure primitive and a write-anything-anywhere primitive to construct a code reuse attack from within an enclave which is then inadvertently executed by the host application".

*Dari sebuah makalah penelitian [PDF] yang di terbitkan pada 8 Febuari 2019 kemarin.

Untuk menentukan apakah halaman memori bisa ditulisi, tim mengembangkan fault-resistant write primitive, Memeriksa Alamat yang Dapat Dituliskan (Checking Located Addresses for Writability (CLAW)), yang merangkum instruksi penulisan untuk halaman memori target dalam transaksi TSX dan secara eksplisit membatalkan transaksi setelah penulisan. Setelah itu, kemampuan penulisan halaman memori target dapat dideduksi berdasarkan nilai pengembalian transaksi.

Setelah malware masuk ke secure enclave kerahasiaan dan integritas yang dijamin SGX secara fundamental untuk program yang sah juga akan melarang peneliti atau solusi keamanan dari mendeteksi dan menganalisis malware di dalam enclave.

Dan pada akhirnya akan memungkinkan aplikasi malware untuk mem-bypass berbagai teknologi keamanan, seperti operating system-level (operasi tingkat sistem) Address Space Layout Randomization (ASLR), stack canaries, dan address sanitizer, serta mengeksekusi kode arbitrer pada sistem yang ditargetkan.

"Moreover, there's a potential threat of next-generation ransomware which securely keeps encryption keys inside the enclave and, if implemented correctly, prevents ransomware recovery tools."

*Seperti yang dijelaskan oleh para akademisi.

Para peneliti mengatakan bahwa eksploitasi konsep-konsep (proof-of-concept exploit) yang dikembangkan oleh tim mereka yang mem-bypass ASLR, stack canaries, dan address sanitizer, untuk "menjalankan gadget ROP dalam konteks host yang memungkinkan malware enclave praktis," mencatat bahwa seluruh proses eksploit memerlukan waktu 20,8 detik.

Pada akhirnya, para akademisi menyimpulkan bahwa alih-alih "melindungi pengguna dari bahaya, SGX saat ini menjadi ancaman keamanan, memfasilitasi apa yang disebut super-malware dengan eksploitasi siap-pakai."

Mitigasi terhadap serangan semacam itu dapat diimplementasikan pada generasi mendatang dari CPU Intel yang lebih baik mengamplas SGX enclaves. Sementara beberapa mitigasi akan membutuhkan perubahan tingkat perangkat keras tanpa biaya kinerja apa pun, beberapa tidak akan memerlukan modifikasi perangkat keras tetapi akan memperdagangkan kinerja.

Ok,

Itulah kabar terkini mengenai teknologi Intel® SGX is a CPU-based yaitu Penelitian dalam "Melindungi" Intel SGX Enclaves dari Malware.

Semoga artikel ini bermanfaat untuk teman-teman sekalian dan terimakasih🙏🙏karena telah mau berkunjung. Untuk lebih jelasnya mengenai artikel ini, teman-teman bisa langsung lihat di youtube Intel Software di bawah ↓, ataupun membaca langsung dari sumber yang saya dapatkan dari The Hacker News. 😀 Serta bisa download makalah tentang penelitiannya disini↲ .