Warum du deine Geheimnisse nicht in TEEs einschließen solltest
It's time to talk about TEEs
Eine Übersicht über Angriffe auf Trusted Execution Environments, die zeigt, wie fragil deren Sicherheitsversprechen sind: von Foreshadow 2018 über BadRAM 2024 bis zu WireTap.fail, TEE.fail und DDRrop, bei denen sich Attestierungsschlüssel extrahieren oder gefälschte Attestierungen erzeugen lassen. Selbst wer physische Angriffe aus seinem Bedrohungsmodell ausschließt, ist betroffen, da ein Verifier Attestierungen von jeder Intel-CPU im guten Stand akzeptiert. Die Empfehlung: keine wertvollen Geheimnisse in TEEs ablegen.
Wir haben erfolgreich Attestierungsschlüssel extrahiert, den primären Mechanismus, mit dem festgestellt wird, ob Code unter SGX läuft. Damit kann jeder Angreifer echte SGX-Hardware vortäuschen, während er den Code in Wahrheit ungeschützt ausführt und in deine Daten hineinschaut.
- azalemeth
SGX gehört zu den Dingen, bei denen in 95 % der Fälle der eigentliche Anwendungsfall böses DRM ist, und ehrlich gesagt gibt es eine sehr motivierte Welt von Hackern, die es aus den unterschiedlichsten Gründen knacken wollen. Mein Bauchgefühl sagt, dass es den Zweck erfüllt, irgendwo einem mittleren Manager eine Prämie zu verschaffen, möglicherweise die Wirksamkeit eines DRM-Schemas marginal zu erhöhen (z. B. Blu-ray-Video – alle offiziellen Player erfordern Windows und laufen auf der TEE) und dass alle tatsächlichen „guten“ Anwendungsfälle irgendwo im Bereich gutes beiläufiges Marketing liegen, einschließlich der Cloud-Computing-Fälle …
- mike_hearn
Es ist nur eine weitere Variante einer sehr alten Debatte in der Computersicherheit: Nichts ist perfekt, also wo zieht man die Grenze?
SGX wurde von Anfang an unter der Annahme entworfen, dass es Fehler geben würde oder Leute clevere, unvorhergesehene Angriffe finden würden, daher hat es ein Resealing-Verfahren wie bei Spielkonsolen, das es ermöglicht, die Plattform über Firmware- und Microcode-Updates an Ort und Stelle zu reparieren. SGX war älter als Spectre, also erwiesen sich diese Annahmen als wahr, und die Plattform wurde mehrere Male neu versiegelt.
Ist das ein Erfolg oder ein Misserfolg? Der Artikel hält es für offensichtlich, dass es ein Misserfolg ist. Aber wenn man ein Allzweck-Computersystem an dem Maßstab misst, ob es jemals gepatcht werden musste, dann hat es noch nie einen Erfolg gegeben. Offensichtlich kann das nicht der Punkt sein, an dem die Grenze gezogen wird.
Ein alternativer Ort, um die Grenze zu ziehen, könnte sein, ob das System die benötigten Garantien bietet, wenn es vollständig gepatcht ist und keine bekannten Fehler vorliegen. Nach diesem Maßstab ist SGX ein gemischtes Bild. Die ursprüngliche SGX-Implementierung berücksichtigte vollständig Hardware-Angriffe, einschließlich auf DRAM-Chips. Spätere Versionen wurden absichtlich geschwächt, um einen Product-Market-Fit zu finden, da Entwickler nicht in der Lage waren, mit einem Programmiermodell umzugehen, das komplexer war als „starte eine ganze VM mit unserer App darin“ (und ehrlich gesagt waren sie selbst dann nicht in der Lage, es richtig hinzubekommen; ich habe so viele verpfuschte RA-Implementierungen gesehen). Aber man stößt auf harte physische Grenzen: Ungeschützten DRAM sicher zu machen, steht im Trade-off dazu, ihn groß zu machen. Entwickler lehnen alles ab, was von ihnen verlangt, RAM zu sparen, ein […]