シャドウスタック

コンピュータセキュリティにおいて、シャドウスタックとは、プロシージャの格納された戻りアドレス^[1]をスタックバッファオーバーフローなどから保護するためのメカニズムです。シャドウスタック自体は、プログラムの呼び出しスタックを「シャドウ」する2番目の独立したスタックです。関数のプロローグでは、関数は戻りアドレスを呼び出しスタックとシャドウスタックの両方に格納します。関数のエピローグでは、関数は呼び出しスタックとシャドウスタックの両方から戻りアドレスをロードし、それらを比較します。戻りアドレスの2つのレコードが異なる場合、攻撃が検出されます。通常の対処方法は、単にプログラムを終了するか、侵入の試みの可能性についてシステム管理者に警告することです。シャドウスタックは、攻撃者が悪用しようとする際に格納された戻りアドレスを改ざんする攻撃を検出することで、保護されたプログラムの制御フローの整合性を維持することを目的とした、スタックカナリアに似ています。

シャドウスタックは、プロローグとエピローグを変更したプログラムを再コンパイルするか、^[2]同じ効果を得るために動的なバイナリ書き換え技術を使用するか、^[3]ハードウェアサポートを使用することで実装できます。^[4]ローカルプログラム変数、渡された引数、あふれたレジスタ、その他のデータも格納するコールスタックとは異なり、シャドウスタックは通常、関数の戻りアドレスの2番目のコピーのみを保存します。

シャドウスタックは、カナリア値の秘密性に依存し、非連続書き込み攻撃に対して脆弱なスタックカナリアよりも、戻りアドレスに対して強力な保護を提供します。^{[5]シャドウスタック自体は、ガードページ}^[6]または情報隠蔽によって保護できるため、攻撃者はシャドウスタックを見つけて、そこに保存されている戻りアドレスを上書きする必要もあります。

スタックカナリアと同様に、シャドウスタックは戻りアドレス以外のスタックデータを保護しないため、メモリ安全性エラーによって生じるセキュリティ脆弱性に対する保護は不完全です。

2016年に、Intelは、制御フロー強制技術によるシャドウスタックのハードウェアサポートを発表しました。^[7]

シャドウスタックには互換性の問題があります。プログラムが例外をスローするかlongjmp が発生すると、シャドウスタックの先頭の戻りアドレスは、コールスタックからポップされた戻りアドレスと一致しなくなります。この問題の一般的な解決策は、一致する戻りアドレスが見つかるまでシャドウスタックからエントリをポップし、シャドウスタックに一致するものが見つからない場合にのみプログラムを終了することです。^[3]

実行中のスレッドごとに呼び出しスタックを持つマルチスレッドプログラムには、各呼び出しスタックをシャドウするシャドウスタックも存在します。

参照

参考文献

^ Delshadtehrani, Leila; Eldridge, Schuyler; Canakci, Sadullah; Egele, Manuel; Joshi, Ajay (2018-01-01). 「Nile: プログラム可能なモニタリングコプロセッサ」. IEEE Computer Architecture Letters . 17 (1): 92–95. doi : 10.1109/LCA.2017.2784416 . ISSN 1556-6056.
^ 「StackShield: Linux 用の「スタック破壊」テクニック保護ツール」Vendicator。
^ ab Sinnadurai, Saravanan; Zhao, Qin; Wong, Weng Fai (2008). 「透過的なランタイムシャドウスタック: 悪意のある戻りアドレスの変更に対する保護」(PDF)。
^ Ozdoganoglu, H.; Brodley, C .; Vijaykumar, T.; Kuperman, B. (2006). 「SmashGuard: 関数の戻りアドレスへの攻撃を防ぐハードウェアソリューション」(PDF) . IEEE Transactions on Computers . 55 (10): 1271–1285. doi :10.1109/TC.2006.166.
^ Szekeres, Laszlo; Payer, Mathias ; Wei, Tao; Song, Dawn (2003). 「SoK: 記憶の中の永遠の戦争」(PDF) . IEEE セキュリティとプライバシーに関するシンポジウム: 48–63.
^ Chieuh, Tzi-cker ; Hsu, Fu-Hau (2001). 「RAD: バッファオーバーフロー攻撃に対するコンパイル時のソリューション」。Proceedings 21st International Conference on Distributed Computing Systems。pp . 409–417。doi :10.1109/ ICDSC.2001.918971。ISBN 0-7695-1077-9. S2CID 32026510。
^ 「制御フロー強制テクノロジプレビュー」(PDF) . Intel Corporation .

[1] Delshadtehrani, Leila; Eldridge, Schuyler; Canakci, Sadullah; Egele, Manuel; Joshi, Ajay (2018-01-01). 「Nile: プログラム可能なモニタリングコプロセッサ」. IEEE Computer Architecture Letters . 17 (1): 92–95. doi : 10.1109/LCA.2017.2784416 . ISSN 1556-6056.

[Stackshield-2] 「StackShield: Linux 用の「スタック破壊」テクニック保護ツール」Vendicator。

[truss-3] Sinnadurai, Saravanan; Zhao, Qin; Wong, Weng Fai (2008). 「透過的なランタイムシャドウスタック: 悪意のある戻りアドレスの変更に対する保護」(PDF)。

[SmashGuard-4] Ozdoganoglu, H.; Brodley, C .; Vijaykumar, T.; Kuperman, B. (2006). 「SmashGuard: 関数の戻りアドレスへの攻撃を防ぐハードウェアソリューション」(PDF) . IEEE Transactions on Computers . 55 (10): 1271–1285. doi :10.1109/TC.2006.166.

[SoK-5] Szekeres, Laszlo; Payer, Mathias ; Wei, Tao; Song, Dawn (2003). 「SoK: 記憶の中の永遠の戦争」(PDF) . IEEE セキュリティとプライバシーに関するシンポジウム: 48–63.

[RAD-6] ^ Chieuh, Tzi-cker ; Hsu, Fu-Hau (2001). 「RAD: バッファオーバーフロー攻撃に対するコンパイル時のソリューション」。Proceedings 21st International Conference on Distributed Computing Systems。pp . 409–417。doi :10.1109/ ICDSC.2001.918971。ISBN 0-7695-1077-9. S2CID 32026510。

[CET-7] 「制御フロー強制テクノロジプレビュー」(PDF) . Intel Corporation .