Los TEE no son tan seguros: ataques físicos y de atestación remota ponen en jaque a Intel SGX y AMD SEV
It's time to talk about TEEs
Un repaso a los ataques más preocupantes contra los Trusted Execution Environments (TEE): desde la filtración de claves de atestación de Intel SGX en Foreshadow (2018) hasta los recientes ataques de interposición física en la memoria DDR5 que permiten falsificar la atestación de AMD SEV-SNP. El autor advierte que si tu modelo de amenaza incluye ataques físicos, no deberías guardar secretos valiosos en un TEE, y cuestiona la promesa de seguridad de los fabricantes de hardware.
No pongas secretos valiosos en tus TEE, o es probable que se vuelvan públicos, especialmente si los ataques físicos están en tu modelo de amenaza.
- azalemeth
SGX es una de esas cosas en las que el 95% de las veces el caso de uso que realmente lo motiva es DRM malévolo y, francamente, tienes un mundo de hackers muy bien motivados deseando romperlo por todo tipo de razones diferentes. Mi intuición es que cumple la función de hacer que algún gerente de nivel medio en algún lugar reciba un bono, potencialmente aumentar marginalmente la eficacia de un esquema de DRM (por ejemplo, video Blu-ray: todos los reproductores oficiales requieren Windows y se ejecutan en el TEE) y cualquier caso de uso realmente "bueno" está en la línea del buen marketing incidental, incluidos los de computación en la nube...
- mike_hearn
Es solo otra vuelta de tuerca a un debate muy antiguo en la seguridad informática: nada es perfecto, así que ¿dónde trazas la línea?
SGX se diseñó desde el principio asumiendo que habría errores o que la gente encontraría ataques ingeniosos no anticipados, por lo que tiene un procedimiento de resellado similar al de una consola de videojuegos que permite corregir la plataforma en su lugar mediante actualizaciones de firmware y microcódigo. SGX es anterior a Spectre, por lo que esas suposiciones resultaron ciertas, y la plataforma se reselló varias veces.
¿Es esto un éxito o un fracaso? El artículo da por sentado que es un fracaso. Pero si juzgas un sistema informático de propósito general con el estándar de "¿alguna vez necesitó ser parcheado?", entonces nunca ha existido un éxito. Claramente esa no puede ser la línea.
Un lugar alternativo para trazar la línea podría ser si el sistema proporciona las garantías necesarias cuando está completamente parcheado y no hay errores conocidos. Según este estándar, SGX es una bolsa mixta. La implementación original de SGX tenía plenamente en cuenta los ataques de hardware, incluidos los de los chips DRAM. Las versiones posteriores se debilitaron deliberadamente para tratar de encontrar un ajuste producto-mercado, ya que los desarrolladores no podían manejar un modelo de programación más complejo que "arrancar una VM completa con nuestra aplicación dentro" (y, francamente, ni siquiera entonces lograron hacerlo bien; he visto tantas implementaciones de RA mal hechas). Pero chocas con límites físicos duros: hacer que la DRAM no confiable sea segura tiene un costo en hacerla grande. Los desarrolladores rechazan cualquier cosa que requiera que conserven RAM, una [...]