CET & Shadow Stack
Control Flow Enforcement Technology (CET)
CET je bezbednosna funkcija implementirana na nivou hardvera, dizajnirana da spreči uobičajene napade na kontrolu toka kao što su Return-Oriented Programming (ROP) i Jump-Oriented Programming (JOP). Ovi tipovi napada manipulišu izvršnim tokom programa kako bi izvršili zlonamerni kod ili povezali delove benignog koda na način koji izvršava zlonamernu radnju.
CET uvodi dve glavne funkcije: Indirect Branch Tracking (IBT) i Shadow Stack.
IBT osigurava da se indirektni skokovi i pozivi vrše ka validnim metama, koje su eksplicitno označene kao legalne destinacije za indirektne grane. Ovo se postiže korišćenjem novog skupa instrukcija koji označava validne mete, čime se sprečava napadače da preusmere kontrolu toka ka proizvoljnim lokacijama.
Shadow Stack je mehanizam koji pruža integritet za povratne adrese. Čuva bezbednu, skrivenu kopiju povratnih adresa odvojeno od redovnog steka poziva. Kada funkcija vrati vrednost, povratna adresa se validira protiv shadow steka, sprečavajući napadače da prepisuju povratne adrese na steku kako bi preuzeli kontrolu toka.
Shadow Stack
Shadow stack je poseban stek koji se koristi isključivo za čuvanje povratnih adresa. Radi zajedno sa redovnim stekom, ali je zaštićen i skriven od normalnog izvršavanja programa, čime se otežava napadačima da manipulišu njime. Osnovni cilj shadow steka je da se osigura da se bilo kakve modifikacije povratnih adresa na konvencionalnom steku detektuju pre nego što mogu biti korišćene, efikasno umanjujući ROP napade.
Kako CET i Shadow Stack Sprečavaju Napade
ROP i JOP napadi se oslanjaju na sposobnost preuzimanja kontrole toka aplikacije iskorišćavanjem ranjivosti koje im omogućavaju da prepisuju pokazivače ili povratne adrese na steku. Usmeravanjem toka ka sekvencama postojećih koda ili koda orijentisanog na povratne adrese, napadači mogu izvršiti proizvoljni kod.
Funkcija IBT CET-a značajno otežava ove napade osiguravajući da indirektni skokovi mogu skakati samo na adrese koje su eksplicitno označene kao validne mete. Ovo čini nemogućim za napadače da izvrše proizvoljne gedžete raspoređene širom binarnog koda.
Sa druge strane, shadow stek osigurava da čak i ako napadač može da prepisuje povratnu adresu na normalnom steku, diskrepancija će biti detektovana prilikom poređenja korumpirane adrese sa sigurnom kopijom smeštenom u shadow steku prilikom povratka iz funkcije. Ako se adrese ne poklapaju, program može da se zaustavi ili preduzme druge sigurnosne mere, sprečavajući napad da uspe.
Last updated