ARM TrustZone技术被广泛用于为移动终端及嵌入式平台提供基于硬件的安全防护。传统的保护方式采用图1（a）所示的可信执行环境（TEE）架构，将敏感应用直接部署在安全世界（secure world）中，以TrustZone的硬件隔离保证敏感应用的安全。但TEE架构下，安全世界的可信计算基（TCB）会随着敏感应用的增加而增加；而且安全世界的应用需要通过设备制造商来部署，这样不方便。为解决这些问题，研究人员提出了图1（b）所示的基于隔离执行环境（IEE）架构的保护方案，安全世界中仅运行一个IEE监控程序（IEE monitor），负责在普通世界构建IEE给敏感应用运行。IEE监控程序确保所构建的IEE能够免受来自普通世界恶意程序或操作系统的攻击。

图1

然而，现有的IEE方案并未充分考虑对cache的保护。通过对IEE方案中的数据保护机制及ARM Cache特性的系统化研究，本文提出了基于cache的中间人攻击（CITM），利用cache与memory在读写操作、安全和隔离属性等方面的不一致，攻破IEE中的数据保护机制。我们以典型的IEE方案SANCTUARY（发表于NDSS 2019）、Ginseng（发表于NDSS 2019）和TrustICE（发表于DSN 2015）为例，阐述3种类型CITM攻击的原理，证明CITM攻击的广泛性和实际可行性。最后，在深入分析CITM攻击的原因之后，提出相应的防护措施，并进行性能评估。本文发表于ACM CCS 2020，更多内容可参考论文原文“Cache-in-the-Middle (CITM) Attacks : Manipulating Sensitive Data in Isolated Execution Environments”。

总体来说，IEE监控程序需要在如下两种场景保护IEE中数据的安全。

场景1：不受信任的程序与IEE在不同的CPU核上并行运行。在多核平台上，不受信任的程序可能与IEE并行运行在不同的CPU核上。出于安全性考虑，IEE监控程序需要确保IEE存储（即为IEE分配的存储）是核隔离的，即该存储只有运行IEE的核才能访问，其他核无权访问。例如，SANCTUARY以硬件方式确保IEE内存只有IEE所在的核才能访问。

场景2：不受信任的程序与IEE在同一个核上以时分复用的方式运行。IEE监控程序需要在上下文切换时做好保护：

■ 当IEE的执行被挂起或终止时（以下简称“切出”），备份和清理IEE数据以防止其被随后运行的不可信程序访问；

■ 当IEE恢复执行或启动时（以下简称“切入），恢复IEE数据至IEE存储来保证IEE的正确执行。

然而，上述两种场景下的保护机制都可能遭受CITM攻击并威胁IEE数据的机密性和完整性。总体来说，我们提出3类CITM攻击，下面分别以SANCTUARY、Ginseng和Trust-ICE这3个IEE系统为例来介绍CITM攻击的原理。

1. 类型一：跨核操纵核隔离的IEE存储

该类型攻击针对场景1，即当两个核并行运行时，跨核操纵核隔离的IEE存储。我们以SANCTUARY系统为例介绍具体的攻击原理。

（1）SANCTUARY的数据保护机制。SANCTUARY使用图2所示的架构，通过内存及L2cache两级控制来保护IEE数据。首先，它以硬件模拟的方式实现核隔离的内存分配。具体来说，它为每个核分配一个唯一的非安全访问标识符（NSAID），并通过配置TrustZone地址空间控制器a（TZC-400）为每个NSAID分配隔离的内存区域。由于现有的ARM平台不支持为CPU的核单独分配NSAID（即一个CPU的所有核共享NSAID），因此SANCTUARY通过ARM Fast Models虚拟化工具模拟实现CPU核级别的内存隔离。其次，由于L2 cache是所有核共享的，因此为了防止攻击者通过L2 cache破坏IEE数据的安全性，SANCTUARY配置IEE内存的访问不经过L2 cache。因为每个核有自己的L1 cache，而且无法直接跨核访问，SANCTUARY未对L1 cache提供额外的保护。

图2

（2）共享属性。在系统化地研究了ARM平台上的cache特性后，我们发现了一种用于实现数据一致性保证的属性——共享属性。当处理器运行在对称多处理SMP模式时，共享属性保证不同的核在访问同一物理内存时从其L1 Data Cache获得数据是一致的。出于安全原因，Non-secure cachea上的数据不会被同步到Secure cache，反之亦然。在图2所示的架构中，IEE和不可信程序都运行在普通世界，因此执行过程中涉及的cache均为Non-secure，共享属性的一致性保证可能导致跨核的L1 cache操纵。

我们在i.MX6Quad sabre开发板上进行如下实验来确认共享属性对Non-secure L1 Data Cache的影响。简单来说，我们让所有4个核都运行在普通世界，访问相同的物理内存（以下简称测试内存），并且所有核的访问都不经过L2 cache。我们先把所有核上测试内存对应的L1 Data Cache都清零，然后向核0的L1 Data Cache写入0xffff并观察其他核上对应的L1 Data Cache 数据变化；之后，向核1的L1 Data Cache写入0xdddd并观察其他核上对应的L1 Data Cache数据变化。实验结果是，当所有核的内存都被配置为可共享时，一个核上的L1 DataCache数据会泄露到其他核，也会被其他核影响，如表1所示。反之，当一个核的内存被配置为不可共享时，其上的L1 Data Cache数据不会泄露到其他核，也不会被其他核影响，如表2所示。

表1

表2

（3）攻击流程。共享属性默认都是开启的（即处于使能状态），因此可按照图2红线所示进行攻击。其中，核0和核1运行在普通世界，核2运行在安全世界；IEE运行在核0，不受信任的操作系统（Rich OS）运行在核1。我们首先为核1构造一个页表条目，将内存页配置为可共享的，并使其物理地址指向核0的内存页（即IEE内存）。那么，当我们核1访问该内存时，核0的L1 Data Cache中的敏感数据将通过共享属性被窃取或修改。

在上面的攻击过程中，我们需要获得IEE内存的物理地址。由于SANCTUARY将IEE内存的相关页表维护在IEE中，攻击者无法直接获取其物理地址范围。然而，整个物理内存被分为3个部分，即IEE内存、TEE内存（分配给安全世界的内存）和未受保护的内存（分配给不受信任的操作系统的内存）。恶意的操作系统可以简单地获取未受保护的内存地址范围。剩下的两个内存区域可以通过判断对应的cache是Secure还是Non-secure进行区分。TEE内存对应的是Secure cache，当从普通世界读取TEE内存总是会返回0或产生异常。IEE内存对应的是Non-secure cache，当IEE运行时，攻击者读取IEE内存可能获得真实的数据。因此，通过内存访问的返回值可判断某一地址是IEE内存还是TEE内存。

2. 类型二：绕过IEE切出时的保护机制

该类型攻击针对场景2，即当一个核以时分复用的方式运行IEE和不可信程序时，攻击者可通过操纵cache绕过IEE切出（IEE被暂停或终止）时的保护措施（如加密备份IEE数据并清空IEE存储），使得不可信程序可以访问IEE数据。我们以Ginseng系统为例介绍具体的攻击原理。

（1） Ginseng的数据保护机制。Ginseng将IEE构建在寄存器中，由于寄存器是每个核独享的，可以阻止来自其他核上不可信程序的攻击。然而，由于寄存器的容量很小，Ginseng系统只能用来保护普通APP中的一些敏感函数，而且Ginseng构建的IEE运行在用户态。当IEE中运行的敏感函数调用不可信函数时需要进行切出保护，即将寄存器中的IEE数据加密并清空寄存器。为了确保安全性，该切出保护需要在安全世界或IEE中完成。由于寄存器容量太小，Ginseng系统的IEE切出保护措施在安全世界中完成，需要将控制权直接从IEE转移到安全世界。通常情况下，触发跨域（即普通世界和安全世界之间）跳转的常用方式是从内核态调用特权SMC指令。然而，这种方法不适用于Ginseng，因为其所构建的IEE运行在用户态，无法调用特权SMC指令。

Ginseng采用图3所示方案来完成跨域跳转。当IEE中的敏感函数要调用不可信函数时，先读一个安全内存（步骤①②），从普通世界访问安全内存，将触发一个安全中断异常，该异常被安全世界的GService（Ginseng系统的IEE监控程序）捕获（步骤③）。GService将寄存器中的IEE数据加密备份到内存，并清空相应的寄存器（步骤④）。随后，将控制流跳转回敏感函数（步骤⑤）并由其调用不可信函数（步骤⑥）。

图3

（2） 攻击流程。由于步骤①的内存读取操作是从普通世界发起的，所访问的cache是Non-secure，因此可以被普通世界的恶意程序读写。具体来说，攻击者在步骤①之前将安全内存对应的cache填上数据（即步骤）。此后，步骤①的内存读取操作将碰到一个Cache Hi（t  而非Cache Miss）导致步骤②*而非步骤②被执行。由于步骤②被绕过，步骤③④⑤也均被绕过。由此，在敏感寄存器未被清空的情况下，不可信函数将被执行并可访问其中的IEE数据。类似攻击类型一，在填充安全内存对应的cache之前攻击者也需要获得安全内存的物理地址。实际上，由于Ginseng系统构建的IEE运行在用户空间，其所有的页表都维护在不可信的普通世界操作系统内核中，因此攻击者可以很容易获得该地址。

3. 类型三：利用上下文切换过程中不完备的cache保护

该类型攻击针对场景2，当上下文切换期间的保护措施可以有效实施的情况下，攻击者仍然可能利用上下文切换过程中对cache保护的不完备实施攻击。我们以TrustICE系统为例介绍具体攻击原理。

（1）TrustICE的数据保护机制。TrustICE是针对单核平台设计的IEE系统，通过动态配置IEE内存的安全属性来实现IEE数据保护。具体如图4所示，当IEE程序运行时，IEE内存被设置成Non-secure，以允许IEE从普通世界进行访问；当不可信的富操作系统运行时，IEE内存将被设置成Secure。

图4

（2）攻击原理。在上下文切换过程中，虽然IEE内存受到了保护，但是对应的cache始终是Non-secure，而且未被正确处理。如图4（a）所示，当IEE暂停时，IEE内存被配置为Secure，但TrustICE未清除对应cache中的数据，因此可通过访问cache窃取IEE数据。同理，攻击者可以将恶意数据预先写入IEE内存对应的cache中，当IEE恢复执行时，它将首先读取驻留在cache中的恶意数据，而不是内存页中的合法数据，如图4（b）所示。该攻击过程也需要获得IEE内存的物理地址。与SANCTUARY类似，TrustICE将IEE内存的相关页表维护在IEE中，攻击者可以采取本文描述的方法来获得IEE内存的物理地址范围。

作者简介

雷灵光，中国科学院信息工程研究所，副研究员，主要从事系统及终端安全方面的研究， 包括移动终端安全、可信计算技术、容器安全等。在ACM CCS、TDSC、ESORICS、ACSAC等期刊/会议上发表论文20余篇。她的相关研究成果获得省部级密码科技进步一等奖。她参与编制信息安全相关国家标准多项，还主持国家自然科学基金课题、网络空间安全重点研发计划子任务、密码基金课题等。

（本文选取了文章部分章节，更多精彩内容请阅读《网络安全国际学术研究进展》一书。）

版权声明：本书由网络安全研究国际学术论坛（InForSec）汇编，人民邮电出版社出版，版权属于双方共有，并受法律保护。转载、摘编或利用其它方式使用本研究报告文字或者观点的，应注明来源。