More

    Em breve, a Intel lançará defesas antimalware diretamente em suas CPUs


    Prolongar / Um processador de PC móvel com o codinome Tiger Lake. Será a primeira CPU a oferecer um recurso de segurança conhecido como Control-Flow Enforcement Technology.

    Intel

    A história dos hackers tem sido amplamente um jogo de vaivém, com invasores desenvolvendo uma técnica para violar um sistema, defensores construindo uma contramedida que impede a técnica e hackers criando uma nova maneira de contornar a segurança do sistema. Na segunda-feira, a Intel está anunciando seus planos de lançar um novo desvio diretamente em seus CPUs, projetados para impedir explorações de software que executam códigos maliciosos em computadores vulneráveis.

    A Control-Flow Enforcement Technology, ou CET, representa uma mudança fundamental na maneira como os processadores executam instruções de aplicativos como navegadores da Web, clientes de email ou leitores de PDF. Desenvolvido em conjunto pela Intel e Microsoft, o CET foi projetado para impedir uma técnica conhecida como programação orientada a retorno, que os hackers usam para ignorar as medidas anti-exploração que os desenvolvedores de software introduziram há cerca de uma década. Embora a Intel tenha publicado pela primeira vez sua implementação do CET em 2016, a empresa está dizendo na segunda-feira que sua microarquitetura de CPU Tiger Lake será a primeira a incluí-lo.

    O ROP, como normalmente é chamado de programação orientada a retornos, foi a resposta dos exploradores de software a proteções como a Proteção de espaço executável e a randomização de layout de espaço de endereço, que chegaram ao Windows, macOS e Linux há pouco menos de duas décadas atrás. Essas defesas foram projetadas para diminuir significativamente os danos que as explorações de software poderiam causar, introduzindo alterações na memória do sistema que impediam a execução de código malicioso. Mesmo ao direcionar com êxito um estouro de buffer ou outra vulnerabilidade, a exploração resultou apenas em uma falha do sistema ou aplicativo, em vez de um comprometimento fatal do sistema.

    O ROP permitiu que os atacantes recuperassem o terreno elevado. Em vez de usar código mal-intencionado escrito pelo invasor, os ataques ROP redirecionam funções que aplicativos benignos ou rotinas de SO já colocaram em uma região de memória conhecida como pilha. O “retorno” no ROP refere-se ao uso da instrução RET, essencial para reordenar o fluxo de código.

    Muito efetivo

    Alex Ionescu, especialista em segurança do Windows veterano e vice-presidente de engenharia da empresa de segurança CrowdStrike, gosta de dizer que, se um programa benigno é como um prédio feito de tijolos de Lego que foram construídos em uma sequência específica, o ROP usa as mesmas peças de Lego, mas ordem diferente. Ao fazer isso, o ROP converte o edifício em uma nave espacial. A técnica é capaz de ignorar as defesas antimalware porque usa código residente na memória que já pode ser executado.

    O CET introduz alterações na CPU que criam uma nova pilha chamada pilha de controle. Essa pilha não pode ser modificada pelos atacantes e não armazena nenhum dado. Ele armazena os endereços de retorno dos tijolos de Lego que já estão na pilha. Por esse motivo, mesmo que um invasor corrompa um endereço de retorno na pilha de dados, a pilha de controle mantém o endereço de retorno correto. O processador pode detectar isso e interromper a execução.

    “Como não há mitigação eficaz de software contra o ROP, o CET será muito eficaz na detecção e interrupção dessa classe de vulnerabilidade”, me disse Ionescu. “Anteriormente, os sistemas operacionais e as soluções de segurança tinham que adivinhar ou inferir que o ROP havia acontecido, executar análises forenses ou detectar as cargas úteis / efeitos do segundo estágio da exploração.”

    Não que a CET esteja limitada a defesas contra a ROP. O CET fornece uma série de proteções adicionais, algumas das quais frustram as técnicas de exploração conhecidas como programação orientada a salto e programação orientada a chamadas, para citar apenas duas. ROP, no entanto, está entre os aspectos mais interessantes da TEC.

    Quem não se lembra do passado

    A Intel incorporou outras funções de segurança em suas CPUs com resultados menos que estelares. Um deles é o SGX da Intel, abreviação de Software Guard eXtension, que supostamente cria pedaços impenetráveis ​​de memória protegida para funções sensíveis à segurança, como a criação de chaves criptográficas. Outro complemento de segurança da Intel é conhecido como o Mecanismo de Gerenciamento e Segurança Convergente, ou simplesmente o Mecanismo de Gerenciamento. É um subsistema dentro de CPUs e chipsets Intel que implementa uma série de funções sensíveis, entre elas o Trusted Platform Module baseado em firmware usado para criptografia baseada em silício, autenticação do firmware UEFI BIOS e Microsoft System Guard e BitLocker.

    Um fluxo constante de falhas de segurança descobertas nos dois recursos residentes na CPU, no entanto, os tornou vulneráveis ​​a uma variedade de ataques ao longo dos anos. As vulnerabilidades mais recentes da SGX foram divulgadas apenas na semana passada.

    É tentador pensar que a CET será igualmente fácil de derrotar, ou pior, exporá os usuários a hacks que não seriam possíveis se a proteção não tivesse sido adicionada. Mas Joseph Fitzpatrick, um hacker de hardware e pesquisador do SecuringHardware.com, diz que o CET otimista terá um desempenho melhor. Ele explicou:

    Uma diferença distinta que me deixa menos cético em relação a esse tipo de recurso em relação a SGX ou ME é que ambos estão “adicionando” recursos de segurança, em vez de fortalecer os recursos existentes. ME basicamente adicionou uma camada de gerenciamento fora do sistema operacional. O SGX adiciona modos de operação que teoricamente não deveriam ser manipulados por um sistema operacional mal-intencionado ou comprometido. O CET apenas adiciona mecanismos para impedir que a operação normal – retornando aos endereços da pilha e pulando dentro e fora dos lugares errados no código – seja concluída com êxito. A falha do CET em executar seu trabalho apenas permite a operação normal. Não concede ao invasor acesso a mais recursos.

    Quando as CPUs compatíveis com CET estiverem disponíveis, a proteção funcionará apenas quando o processador estiver executando um sistema operacional com o suporte necessário. O Windows 10 versão 2004 lançado no mês passado fornece esse suporte. A Intel ainda não está dizendo quando os CPUs Tiger Lake serão lançados. Embora a proteção possa dar aos defensores uma nova e importante ferramenta, Ionescu e seu colega pesquisador, Yarden Shafir, já criaram desvios para ela. Espere que eles acabem em ataques do mundo real dentro de uma década.


    Artigos Recentes

    Miniusuários do Apple HomePod com problemas graves de Wi-Fi

    Alguns usuários do Apple HomePod mini estão relatando um problema com a conectividade Wi-Fi, com apenas uma correção temporária em jogo. Um tópico nos...

    A tecnologia está transformando o setor de seguros

    A indústria de seguros, por muito tempo, foi impulsionada por modelos de negócios tradicionais. Ela continuou seu processo de negócios e produtos...

    A promessa e o desafio do futuro da Roblox na China

    Em uma mudança muito esperada, a empresa de jogos Roblox, com sede na Califórnia arquivado para ir a público na semana passada....

    Artigos Relacionados

    DEIXE UMA RESPOSTA

    Por favor digite seu comentário!
    Por favor, digite seu nome aqui