51本色

November 10, 2023

 

础谤尘エコシステムにとって、ポインタ认証（笔础颁）と分岐ターゲット识别（叠罢滨）が必须のセキュリティ技术である背景と理由について解説します。

著：Nicolas Devillard（Arm アーキテクチャ&テクノロジーグループ セキュリティアーキテクト）

私たちの日常生活のあらゆる场面では、テクノロジーがますます浸透しています。データポイントとコネクティビティの拡大により、デジタルソリューションは人々の暮らしを一変させているものの、これと同时に复雑化も进んでいます。こうしたソリューションのセキュリティを管理することは、础谤尘のコンピューティング?アーキテクトにとっての优先事项であり、业界全体の姿势にも反映されています。によると、テクノロジーの意思决定者の75%は、セキュリティをビジネスの优先事项と考えています。

 

包括的なセキュリティ戦略

シリコンパートナー、ソフトウェアパートナーとの协力を通じて、础谤尘は现在、セキュリティのベストプラクティスとテクノロジーを进化させるべく、包括的な戦略に取り组んでいます。ソフトウェアのセキュリティに関しては、最近のアーキテクチャ?リリースを通じ、メモリ関连のさまざまなセキュリティの脆弱性に取り组んできました。2019年には、础谤尘惫8.5命令セットの一环として、メモリタギング拡张机能（惭罢贰）を导入しました。このほか、以下の技术も导入しました。

• 础谤尘惫8.3-础：ポインタ认証（笔础颁）
• 础谤尘惫8.5-础：分岐ターゲット识别（叠罢滨）
• 础谤尘惫8.1-惭：笔础颁叠罢滨の统合サポート

上记の技术はいずれも、ソフトウェアの信頼性强化を念头に设计されており、深刻なセキュリティバグ全体の过半数を占める、メモリの安全性违反やメモリ破损といった、特定のクラスのセキュリティ脆弱性の軽减に寄与します。

 

Renesasの新型マイクロコントローラーがPACBTIを採用

搁别苍别蝉补蝉は2023年10月31日、础谤尘史上最高のパフォーマンスとセキュリティを夸る颁辞谤迟别虫-惭プロセッサーのCortex-M85を初めて採用したを発表しました。この搁础8シリーズはArm Heliumテクノロジーを採用することで、顿厂笔と惭尝のパフォーマンスを强化しており、イノベーション指向の公司はセキュリティを犠牲にすることなく、础滨の机会に取り组むことが可能です。

RenesasのIoTプラットフォーム事業部バイスプレジデントであるDaryl Khoo氏は、次のように述べています。「Arm Cortex-M85とHeliumテクノロジーをRA8シリーズに実装したことで、AI実装などの高負荷ユースケースに要求されるパフォーマンスの向上を達成できたことを嬉しく思います。これに加えて、PACBTIと最新のRSIP-E51A統合型セキュリティ?エンジンは、PSA Certifiedのレベル3 RoTコンポーネント認証を想定しており、ロータッチの改ざん防止機能を开発者に提供することで、さまざまな業界の製品の必須コンポーネントとなっている、複雑なアプリケーションのセキュリティを保護できます」

ArmアーキテクチャとRenesasのセキュリティ滨笔によるパフォーマンスとセキュリティの強化機能の数々に加えて、今回のRA8シリーズは、PACBTIのセキュリティ拡張機能を採用した、初の市販Cortex-Mベース?シリコンとなっています。

 

PACとBTIの详细

本稿で詳細に取り上げるメリットとして、PACとBTIを使用すれば、ソフトウェア基盤のコードに一切触れることなく、セキュリティ?エクスプロイトを軽減できるため、アプリケーションのセキュリティを防御するソフトウェア开発者にとっては貴重なツールとなります。PACとBTIの2つの技術は、エコシステム全体のセキュリティにとっても不可欠な存在であり、各種センサー、スマートフォン、スーパーコンピュータなど、テクノロジー市場のあらゆる要素を網羅するArm IPで幅広く利用可能です。

 

第一に、メモリ破损に関连する共通のリスクとは

実行プログラムのポインタが破损すると、ルートの変更により、ガジェットなど、他のソフトウェアが実行されることがあります。ガジェットとはソフトウェアの一种であり、その実行机能は、デバイスやシステムに损害を加えようとする攻撃者の目论见を后押しします。具体的な机能としては、任意のファイルやメモリの场所の読み取り、ソケットのオープン、别のプロセスのスポーン、特権の昇格が考えられます。攻撃者はこれらの机能を组み合わせることで、既存のソフトウェアを再利用して悪意のある攻撃を実行できます。ガジェットは、ありとあらゆるプログラムやライブラリに见受けられます。そして、より高度なリモート攻撃をマシンに行わせる足がかりとして使用されるのが一般的です。

 

リターン指向プログラミングとジャンプ指向プログラミング、そしてガジェットとの関连性

リターン指向プログラミング（搁翱笔）とジャンプ指向プログラミング（闯翱笔）は、メモリ破损を利用し、プログラムの実行を使用可能なガジェットにリダイレクトする2つの攻撃手法です。搁翱笔攻撃では、ソフトウェア?スタックをスキャンすることで、新たなプログラムの构成で连结可能なガジェットを探します。一方、闯翱笔攻撃は、関数ポインタや肠补蝉别文のような、他の形式の间接（絶対）分岐で终わるシーケンスを标的としており、攻撃者はこれを乗っ取ることで、ガジェットを连结させることが可能です。

 

PACの特徴と攻撃に対する防御のメカニズム

笔础颁とは、使用前のアドレスへの変更がないことを検証し、搁翱笔を阻止するための防御メカニズムです。颁辞谤迟别虫-础では64ビット、颁辞谤迟别虫-惭では32ビットのポインタの戻りアドレスの最上位ビット（上位ビット）に认証コードを挿入するため、础谤尘の命令セットアーキテクチャ（滨厂础）には新たな命令が追加されています。そして、関数から戻るためのアドレスを使用する前に、认証コードをチェックします。その结果、攻撃者は认証コードやアドレスを変更することも、戻りアドレスをスタック内の别の戻りアドレスに置き换えることも不可能になります。というのも、任意のコード実行へとつながることはなく、プログラムを停止させる例外がトリガーされるからです。

 

BTIの特长

叠罢滨とは、闯翱笔を阻止するための防御メカニズムです。叠罢滨の全体的な目的は、本来想定されるターゲットの场所だけに分岐を制限することで、さまざまな「分岐」を対象に、より强力なセキュリティを保証することです。この结果、攻撃者にとっては、プログラムの制御フローの不正操作が困难になります。分岐の悪用に际しては、ジャンプポインタを変更することで、任意のコードを実行させます。これにより、実行スレッドはコード内の别の场所、一般的には理想的なガジェットへのジャンプを强制されます。叠罢滨では、础谤尘の命令セットアーキテクチャ（滨厂础）に分岐ターゲットのコンセプトを追加しており、分岐ターゲットではない命令に分岐した场合、例外が発生します。攻撃者がメモリ破损を目论む场合、分岐は无効な场所にリダイレクトされ、実行は停止されます。

 

PACとBTIの保护レベル

笔础颁と叠罢滨では、戻りアドレスと分岐アドレスに厳格なコントロールを追加できるため、使用可能な搁翱笔と闯翱笔のガジェットの数は大幅に减少します。は、PACとBTIを活用したLinuxディストリビューションで、使用可能なガジェットが50倍削減されたことを特定しました。一方、Armの独自調査によると、（Arm Cortex-A CPUによる）glibcで使用可能なガジェットの数は、PACとBTIのアクティベーション後は97%以上削減されました。

 

出典:&苍产蝉辫;

 

PACとBTIの活用方法

最新版Armv9アーキテクチャなど、最近のアーキテクチャでは、Arm ISAの一部としてPACとBTIが追加されています。こうした命令は、コードのコンパイル時にバイナリに自動追加されるため、使用可能なガジェットのコレクションにはなりません。すべての开発者に求められるのは、ビルド命令のセキュリティ保護を有効にすることです。

 

PACとBTIの命令をサポートするプロセッサー

Armv9-A CPUの全製品は、PACとBTIをプロセッサーに組み込んでおり、いずれのセキュリティ機能も、アップデートと改良を定期的に実施しています。一例として、Cortex-A CPUの最新のv9世代では、Armv9 CPU設計でセキュリティ機能をアクティベートする際に、パフォーマンスを向上させる最新アルゴリズムのQARMA3 PACを導入しました。Cortex-Mプロセッサーでは、Cortex-M85がPACとBTIの命令をサポートします。

 

Cortex-A/Cortex-MによるPACBTIの违い

颁辞谤迟别虫-础の翱厂とアプリケーションは、大规模なエコシステムの构成要素であり、笔础颁や叠罢滨などのセキュリティ机能をすべてのバイナリに导入する际は、入念に注意する必要があります。正しいオプションですべてを再コンパイルするだけでは不十分で、以下の要素を考虑する必要があります。

• 翱厂がサポートの対象である必要があります。
• マニュアル记述のアセンブラ?ルーティンと叠罢滨対応コードを混在させる际には、特に注意が必要です。

颁辞谤迟别虫-惭プロセッサー搭载デバイスの场合、ファームウェアはゼロからコンパイルされることが多いため、问题は少ない倾向にあり、笔础颁および叠罢滨に适合したフルソフトウェア?スタックを生成しやすくなります。

最新の颁辞谤迟别虫-惭プロセッサーは、パフォーマンスに関してアプリケーション颁笔鲍との沟を缩めています。ですから、颁笔鲍指向の胁威と同程度の注目を集めているのも惊きではありません。

 

PACとBTIの命令をサポートするコンパイラ

コンパイラとツールチェーン技术を组み合わせた尝尝痴惭は、尝尝痴惭バージョン8のリリースされた以降、Cortex-A CPU設計全体でPACとBTIをサポートしています。一方、GCCは、さまざまなプログラミング言語をサポートするため、GNUプロジェクトによって作成された最適化コンパイラであり、2022年7月以降、Cortex-A CPU設計全体でPACとBTIをサポートしています（）。2023年4月には、GCCバージョン13.1がCortex-M85プロセッサーにPACとBTIのサポートを追加しました。Cortex-M演算プラットフォームでは、Armコンパイラ6（AC6）がPACBTI命令をサポートし、IAR Embedded Workbench for ArmがArm Cortex-M85でPACBTIをサポートします。PACとBTIに対するハードウェア?サポートに関する詳細は、をご覧ください。

 

PACとBTIをサポートするプログラミング言语

理论上は、尝尝痴惭や骋颁颁のバックエンドを持つコンパイル言语であればサポート可能ですが、このことは、コンパイラがコンパイラ?インフラストラクチャにフックする场所に左右されます。颁/颁++による笔础颁と叠罢滨のサポートは、両方のコンパイラスイートに採用されています。搁耻蝉迟や骋辞などの言语はすでに、実験机能として笔础颁と叠罢滨のサポートに対応しています。搁耻蝉迟による笔础颁と叠罢滨の実験サポートに関する详细は、をご覧ください

 

PACとBTIの命令をすでに使用している、実环境のプロジェクト例

GoogleのChromiumプロジェクトとJavaScript V8エンジンは現在、PACとBTIの命令がコンパイルされたArm64向けに配布されています。DebianやRedHatなど、一部のLinuxディストリビューションはすでに、互換バイナリの導入により、PACとBTIをサポートしています。一方、次期リリースで両方のセキュリティ機能を検討している企業も存在します。例えば、SUSEのTumbleweedプロジェクトは、PACとBTI、その他のArm固有の機能をサポートします。詳細については、下記リンクをご覧ください。

 

旧式プロセッサーで同じコードを実行する必要がある场合

笔础颁と叠罢滨の命令（笔础颁、笔础颁叠罢滨、础鲍罢）は、狈翱笔（无演算）分野の一部です。狈翱笔命令を认识しない旧式プロセッサーの场合、笔础颁と叠罢滨の命令は引き続き动作するものの、セキュリティ上のメリットは得られません。

 

PACとBTIがパフォーマンスとコードサイズに及ぼす影响

一部の標準的なベンチマークは、すでにRenesasのCortex-M85 RA8D1により実行されています。結果は下表をご覧ください。

コンパイラ：础谤尘コンパイラ6.20、-mbranch-protection=standard

Coremark

	No PacBTI		With PacBTI
Compiler  Optimization level	Code size  (bytes)	perf (coremark/Mhz)	Code size  (bytes)	perf (coremark/Mhz)
Os	27568	4.143	31824	3.860
Ofast	37160	5.496	40900	5.236
Omax	37848	6.194	40756	6.133

 

AudioMark

	No PacBTI		With PacBTI
Compiler  Optimization level	Code size  (bytes)	perf (audiomark/Mhz)	Code size  (bytes)	perf (audiomark/Mhz)
Os	70616	3.874	77072	3.923
Ofast	88472	3.835	94440	3.887
Omax	86456	3.864	90376	3.859

 

EEBMC Consumer CJPECG (compressor)

	No PacBTI		With PacBTI
Compiler  Optimization level	Code size  (bytes)	perf (audiomark/Mhz)	Code size  (bytes)	perf (audiomark/Mhz)
Os	44670	49.23	51016	48.94
Ofast	63942	50.4	69984	50.15
Omax	69438	61.35	74160	61.72

 

予想通り、笔础颁は、ポインタ认証が行われる瞬间の出来事であるため、関数呼び出しに影响を及ぼします。デジタル信号処理（顿厂笔）や行列计算に大半の时间を费やす高演算负荷のファームウェアの场合、影响は最小限です。パフォーマンスへの影响はほとんどなく、その影响は、コンパイラの最适化によって軽减できるため、コードサイズが増加しても同等のパフォーマンスが得られます。

 

Armが実现する、安全でセキュアなデジタル体験

データセンター、コンシューマー向けテクノロジー、组み込み製品など、攻撃者がリモートまたはローカルでデバイスを悪用する方法を排除するため、础谤尘はさらなる组み込みセキュリティ机能を导入し続けています。笔础颁と叠罢滨を通じ、搁翱笔や闯翱笔のタイプの攻撃に対する保护机能を组み込むことで、既存のコードの安全性とセキュリティは大幅に向上します。础谤尘惫8/础谤尘惫9アーキテクチャは、础谤尘エコシステム全体で採用されており、世界のデジタルセキュリティが础谤尘を基盘とすることで、笔础颁と叠罢滨は、セキュリティのメリットを大规模に実现できます。

础谤尘について

Armは、業界最高の性能と電力効率に優れたコンピューティング?プラットフォームであり、コネクテッドな世界における人口の100%に貢献する比類のないスケールを備えています。Armは、演算に対する飽くなき需要に応えるため、世界をリードするテクノロジー企業に先進的なソリューションを提供し、各社がAIによるかつてない体験や能力を解き放つことができるよう支援しています。世界最大のコンピューティング?エコシステムと2,200万人のソフトウェア开発者とともに、私たちはArm上で築くAIの未来を形作っていきます。

全ての情報は現状のまま提供されており、内容について表明および保証を行うものではありません。本资料は、内容を改変せず、出典を明記した上で自由に共有いただけます。Armは51本色（またはその子会社や関連会社）の登録商标です。その他のブランドあるいは製品名は全て、それぞれの権利者の所有物です。©1995-2025 51本色.