制御フローの整合性

制御フロー整合性( CFI ) は、さまざまなマルウェア攻撃によってプログラムの 実行フロー (制御フロー) がリダイレクトされるのを防ぐコンピューター セキュリティ技術の総称です。

コンピュータプログラムは、通常、決定を下したりコードの異なる部分を使用したりするために制御フローを変更します。このような転送は、ターゲットアドレスがコード自体に書き込まれる直接転送、またはターゲットアドレス自体がメモリまたはCPUレジスタ内の変数である間接転送の場合があります。一般的な関数呼び出しでは、プログラムは直接呼び出しを実行しますが、スタックを使用して呼び出し元の関数に戻ります。これは間接後方転送です。関数ポインタが仮想テーブルなどから呼び出される場合は、間接前方転送があると言います。^{[1] [2]}

攻撃者は、権限を利用したり、メモリ空間からデータを抽出したりするために、プログラムにコードを挿入しようとします。実行可能コードが一般的に読み取り専用になる前は、攻撃者は実行時にコードを任意に変更し、直接転送を狙ったり、転送をまったく行わなかったりすることができました。W ^Xが普及した後は、攻撃者は間接転送を利用して、実行するコードを含む別の保護されていない領域に実行をリダイレクトしようとします。つまり、仮想テーブルを上書きして前方エッジ攻撃を行ったり、コールスタックを変更して後方エッジ攻撃を行ったりすることができます (リターン指向プログラミング)。CFI は、間接転送が意図しない場所に行くのを防ぐように設計されています。^[1]

関連する技術には、コードポインタ分離（CPS）、コードポインタ整合性（CPI）、スタックカナリア、シャドウスタック、vtableポインタ検証などがあります。^{[3] [4] [5]}

関連する実装としては、 Clang（LLVM全般）^[6]、 MicrosoftのControl Flow Guard ^{[7] [8] [9]}、Return Flow Guard ^[10] 、 GoogleのIndirect Function-Call Checks ^[11]、Reuse Attack Protector（RAP）^{[12] [13]などがあります。}

LLVM/Clang は、仮想テーブルと型キャストのエラーをチェックすることでフォワードエッジで機能する「CFI」オプションを提供します。これは、通常の場合にどの関数が呼び出されるかを知るためにリンク時最適化(LTO) に依存します。 ^{[14]コールスタックの変更をチェックすることでバックワードエッジで防御する別の「}シャドウコールスタック」スキームがあり、aarch64 でのみ使用できます。^[15]

Googleは2018年から、リンク時最適化（LTO）とCFIを備えたClangでコンパイルされたLinuxカーネルを搭載したAndroidを出荷している。 ^[16] SCSはAndroidを含むLinuxカーネルのオプションとして利用可能である。^[17]

インテル制御フロー強制技術（CET）は、シャドウスタック（SS）と間接分岐追跡（IBT）を使用して制御フローの整合性に対する侵害を検出します。^{[18] [19]}

シャドウ スタックは、特別に保護されたシャドウ スタックに各 CALL の戻りアドレスのコピーを保存します。RET では、プロセッサは通常のスタックとシャドウ スタックに保存されている戻りアドレスが等しいかどうかを確認します。アドレスが等しくない場合、プロセッサは INT #21 (制御フロー保護エラー) を生成します。

間接分岐追跡は、許可されていないターゲットを持つ間接 JMP または CALL 命令を検出します。これは、プロセッサに新しい内部ステート マシンを追加することによって実装されます。間接 JMP および CALL 命令の動作は、ステート マシンを IDLE から WAIT_FOR_ENDBRANCH に切り替えるように変更されます。WAIT_FOR_ENDBRANCH 状態では、次に実行される命令は新しい ENDBRANCH 命令 (32 ビット モードでは ENDBR32、64 ビット モードでは ENDBR64) である必要があり、これにより、内部ステート マシンが WAIT_FOR_ENDBRANCH から IDLE に戻ります。したがって、間接 JMP または CALL のすべての許可されたターゲットは ENDBRANCH で始まる必要があります。プロセッサが WAIT_FOR_ENDBRANCH 状態 (つまり、前の命令が間接 JMP または CALL だった) にあり、次の命令が ENDBRANCH 命令でない場合、プロセッサは INT #21 (制御フロー保護エラー) を生成します。 CET 間接分岐追跡をサポートしていないプロセッサでは、ENDBRANCH 命令は NOP として解釈され、効果がありません。

制御フローガード（CFG）は、2014年11月にWindows 8.1 Update 3（KB3000850）向けに初めてリリースされました。開発者は/guard:cf、Visual Studio 2015以降でプログラムをリンクする前にリンカーフラグを追加することで、プログラムにCFGを追加できます。 ^[20]

Windows 10 Creators Update（Windows 10 バージョン 1703）以降、WindowsカーネルはCFGでコンパイルされています。 ^[21] WindowsカーネルはHyper-Vを使用して、悪意のあるカーネルコードがCFGビットマップを上書きするのを防ぎます。^[22]

CFGはプロセスごとにビットマップを作成し、セットされたビットはアドレスが有効な宛先であることを示します。各間接関数呼び出しを実行する前に、アプリケーションは宛先アドレスがビットマップ内にあるかどうかを確認します。宛先アドレスがビットマップ内にない場合、プログラムは終了します。^[20]これにより、攻撃者がオブジェクトの内容を置き換えて間接関数呼び出しを使用してペイロードを実行することで、解放後使用を悪用することがより困難になります。^[23]

すべての保護された間接関数呼び出しでは、 _guard_check_icall関数が呼び出され、次の手順が実行されます。^[24]

1. ターゲット アドレスをビットマップ内のオフセットとビット番号に変換します。
   1. 上位3バイトはビットマップ内のバイトオフセットです。
   2. ビット オフセットは 5 ビットの値です。最初の 4 ビットは、アドレスの下位 4 ビット目から 8 ビット目です。
   3. ビット オフセットの 5 番目のビットは、宛先アドレスが 0x10 (最後の 4 ビットが 0) に揃っている場合は 0 に設定され、揃っていない場合は 1 に設定されます。
2. ビットマップ内のターゲットのアドレス値を調べる
   1. ターゲット アドレスがビットマップ内にある場合は、エラーなしで戻ります。
   2. ターゲット アドレスがビットマップ内にない場合は、プログラムを終了します。

CFG をバイパスするための一般的な手法はいくつかあります。

• 同じプロセスでロードされた非CFGモジュールにあるコードを宛先に設定する。^{[23] [25]}
• CFG（CALLまたはJMP）によって保護されていない間接呼び出しを見つけます。^{[23] [25] [26]}
• 関数呼び出しを、その呼び出しが想定されている数とは異なる数の引数で使用し、スタックの不整合を引き起こし、関数が返された後にコードが実行される（Windows 10 で修正済み）。^[27]
• 同じ数の引数を持つ関数呼び出しを使用しますが、渡されるポインタの1つはオブジェクトとして扱われ、ポインタベースのオフセットに書き込まれるため、戻りアドレスを上書きできます。^[28]
• CFGがアドレスを検証するために使用する関数呼び出しを上書きする（2015年3月に修正）^[26]
• CFGビットマップをすべて1に設定し、すべての間接関数呼び出しを許可する^[26]
• 制御書き込みプリミティブを使用してスタック上のアドレスを上書きする（スタックはCFGによって保護されていないため）^[26]

eXtended Flow Guard（XFG）はまだ正式にリリースされていませんが、Windows Insiderプレビューで利用可能であり、2019年にBluehat Shanghaiで公開されました。^[29]

XFG は、関数呼び出しシグネチャを検証することで CFG を拡張し、間接関数呼び出しが同じシグネチャを持つ関数のサブセットのみに行われるようにします。関数呼び出しシグネチャの検証は、間接呼び出しの直前にターゲット関数のハッシュをレジスタ r10 に格納し、計算された関数ハッシュをターゲットアドレスのコードの直前のメモリに格納する命令を追加することで実装されます。間接呼び出しが行われると、XFG 検証関数は r10 の値をターゲット関数の格納ハッシュと比較します。^{[30] [31]}

• バッファオーバーフロー保護