UEFIセキュリティパート2

UEFIのセキュリティ、脅威、および脅威に対する既存の防御についての最後の投稿で会話を開始します。
今回は、SMM、それがどのように構成され動作するか、そしてなぜそれが攻撃の望ましいターゲットであるかについてお話します。
この作品のゼロ部分と最初の部分を見逃してしまったので、最初にそれらを読むことをお勧めします。残りの部分は忠実に猫を求めます。

パート2 SMM

少しの教育プログラム

検索エンジン最適化とネットワークマーケティングスペシャリストのおかげで（健全に！）、「SMM」のリクエストではSMMに関する情報をネットワーク上で見つけることは絶対に不可能です。シェル。
システム管理モードは、x86 / amd64互換プロセッサの最も特権的なコード実行モードの1つです。Intel80386の特別なSLバージョンで初めて登場しました。80486以降、AMDおよびVIA製を含むすべてのx86 CPUでサポートされます。
当初、SMMはOSに依存しない自動電源およびシステムデバイス管理を実装するために使用されました。 その時間のこのOSを教えることは、プロセッサに別の実行モードを追加するよりも困難でした。
SMMモードへの切り替えは、さまざまな方法で生成される特別な割り込みSMIを使用してのみ実行されます。
-ハードウェア、高レベル出力SMIを発行＃
-いくつかのイベントの結果としてのシステム自体
-プログラム的に、指定された番号でバイトをCPU IOレジスタに送信します（ほとんどの場合、レジスタ0xB2です）

ハードウェアSMI

彼について書くことは特にありません。脚に張力をかけます-中断します。 今ではめったに使われない ほとんどすべてのシステムに、OSを中断することなくイベントを生成できる多機能GPIOが追加されました。さらに、多くのデバイスがあり、レッグが1つしかないため、ハードウェアSMIを具体的に生成したユーザーを決定するための追加ロジックは必要ありません

システムSMI

非常に多くのシステムSMIソースが存在する可能性がありますが、ファームウェア開発者の要求に応じて制御および無効化できるもののみをリストします。例として、8番目のシリーズチップセットを持つシステムを取り上げます。 Haswell / Broadwellプロセッサを使用：

• xHCI SMI-USBコントローラーによって生成され、レガシーUSBエミュレーションを実装し、DOSでUSBメディアから起動できます。
• ME SMI- MEによって生成され、メインMEのネイティブドライバーを持たないシステムで使用できます-HECIインターフェイスで動作します
• GPIOロック解除SMI-ロックビットがGPIOピン制御レジスタから削除されると生成されます。 このSMIでは、ファームウェア開発者は、OSが特定のGPIOを制御できるようにするかどうかを決定する独自のハンドラーをハングさせることができます。
• 定期的なSMI-8/16/23/64秒の調整可能な周波数で内部タイマーに従ってチップセットによって生成されますが、通常は完全に無効になっています。
• TCO SMI- TCOタイマーによって生成されます（有効な場合）。 TCOはIntel固有のウォッチドッグカウントダウンタイマーであり、OSが数秒ごとに起動してウォッチドッグに問題がないことを通知する必要があります。 タイマーがゼロに達すると、SMIが生成され、そのハンドラーでシステムが最も頻繁に再起動します。
• EC SMI-通常、 ECが配置されている0x62-0x66の範囲のCPU IOポートにアクセスすると、チップセットによって生成されます。これにより、たとえば、エミュレーションをセットアップしたり、ファームウェアを書き込みから保護したりできます。 ほとんどの場合、このソースは無効になり、上記の範囲へのアクセスは、物理ECが接続されているLPCバスに直ちにデコードされます。 存在しない場合、チップセットはすべての要求に対して0xFFで応答し、それで終わりです。
• CPU IOポートAPM_CNTへの書き込みによって生成されるAPMC SMIについては、次のセクションで詳しく説明します。
• SLP SMIは、ACPI S1-S5状態への遷移、より正確にはSLP_ENビットを設定しようとしたときに生成されます。 この割り込みにより、スリープまたは休止状態になる前にプラットフォーム固有のコードを実行できるSxトラップが実装されます。
• CPU IOのポートにアクセスするときに生成されるIOTR SMI。 この中断の助けを借りて、IOトラップが実装され、IOポートでハングするために使用されていたレガシーアイロンをエミュレートできます。 SuperIO、キーボード、オーディオチップ、MIDI、COM、およびLPTポートなど。 USBキーボードはDOSでのみ動作します。これは、0x60 / 0x64 IOポートにアクセスすると、SuperIOまたはIO Trapがインターセプトされるためです。
• そして、私があまりにも長い間話をしなければならない他のいくつかの、私はRTFMに興味があるすべての人にメッセージを送ります 。

ソフトウェアSMI

ソフトウェアSMIはほとんどの場合、ファームウェアまたはドライバーによって生成されますが、OSの管理者権限（より正確にはout命令を実行する権限が必要）を持つ攻撃者も同様に生成できます。
IOポートAPM_CNTがCPU（ほとんどの場合ポート0xB2）に書き込まれると、ソフトウェアSMIが生成され、その番号はALレジスタのパラメーターとして渡されます。 したがって、システム内のさまざまなソフトウェアSMIプロセッサーの最大数は256ですが、実際には、RTOSでの作業用に準備された特殊なシステムでは0から5、OSの介入なしで管理する必要のあるさまざまなハードウェアを持つシステムでは15から20の範囲です。

SMMの実装方法

SMMディスパッチャーとSMIハンドラーのコードには、1〜3個の物理メモリ領域が割り当てられます。これは、すべての「通常」実行モードで、チップセットが存在しないデバイスのMMIO領域としてマークします。 その他の地域では、これらの領域は連続した一連の0xFFであり、上書きできません。 通常、 ASEG （すなわち、「セグメントA」）と呼ばれる最初の領域は、いわゆる レガシーSMMコード 、つまり 現在のシステムには存在しない古い16ビットSMIハンドラー。 セグメントは、固定物理アドレス0xA0000-0xBFFFFにあるため、その名前を取得しました。 固定アドレスを持つ2番目の領域はHSEG （つまり「高セグメント」）で、以前は0xFEDA0000〜0xFEDBFFFFにありましたが、最新のシステムでは使用されていません。 カスタムアドレスとサイズを持つはるかに便利なセグメント-TSEG （つまり「トップセグメント」）があります。これには、SMMで実行されるコードの99％が含まれ、ASEGには互換性のために小さなスタブしかありません。
SMMに切り替えると、プロセッサはほぼすべてのコンテキストを保存します（つまり、保存されないほとんどすべてのレジスタの内容は特定のマイクロアーキテクチャに依存します）。SMIハンドラーは保存されたコンテキストに完全にアクセスできるため、変更を通じてシステムと通信できます保存された値。
OSの場合、SMMコードの呼び出しはレジスタとメモリの内容の魔法のような変更のように見えますが、プログラムの割り込みの開始の前後にMSR_SMI_COUNTレジスタを読み取ることにより、間接的な兆候によってSMMにいる時間と、直接的な手段によってそれに切り替える事実を追跡することはまだ可能ですが、しかし、OS SMIはプロセッサの持続時間に影響を与えることができないため、SMMはハードRTOSとの互換性が不十分です（x86アーキテクチャ全体がかなり互換性があることは注目に値しますが、これは別の話です）。
デフォルト設定では、SMMで実行されているコードは、読み取りおよび書き込み用のすべての物理メモリへのフルアクセス、接続されているすべてのデバイスへのフルアクセスを一般的に持ちます-ほとんどすべてを実行できますが、同時にOSから独立しており、読み取りでもアクセスできませんその分析を複雑にし、SMIハンドラーコードを攻撃の非常に魅力的なターゲットにします。 さらに、攻撃を受けているシステムがSMMからアクセス可能で、SPIチップに書き込む場合（そして、火災では見られないPFATが有効になっているシステム、あまり一般的ではない読み取り専用BIOSが搭載されたシステム、 PRレジスタによる保護を使用すると）、攻撃が成功するとBIOSでコードが書き込まれ、その後にガチョウによる盗難、殺人、およびわいせつが続きます。 そのため、SMMが悪意のあるコードを挿入しないようにすることが重要です。

SMMの攻撃と防御

忘れられたD_LOCK

SMRAMのコードはそれ自体には表示されません。まず、SMRAM自体を構成し、物理メモリを初期化し、すべてのハンドラーがそこに収まるようにTSEGを構成し、SMMディスパッチャーとハンドラーのコードをコピーし、そこに記述子テーブルを構成する必要があります-一般に、厳密な法定順序を設定し、その後、D_OPENビットを削除して他の人がそこに何も壊さないようにする必要があり、D_OPENを戻せないようにD_LOCKビットを設定します。 一部の古いシステムでは、D_LOCKの設定を忘れており、SMMがすべての風に開かれていましたが、これはUEFIの時代には発生しなかったため、この攻撃ベクトルは歴史上低下しました。

SMMキャッシュポイズニング

もう1つの歴史的な攻撃は、2009年にRafal WojtczukとJoanna Rutkowskaによって公開されたSMRAMキャッシュのポイズニングです 。 攻撃の本質は短い-SMRAM領域のメモリタイプをライトバックに変更し、SMRAM領域でコードの記録を整理し、メモリに書き込みを行いませんが、コードは2次キャッシュに残り、その後ソフトウェアSMIを生成し、プロセッサはデータを読み取りませんSMRAMとキャッシュから取得すると、悪意のあるコードが実行されます。 CPUメーカーは、WBモードをSMRAMに設定することを禁じていたため、UEFIを備えたシステムの影響を受けません。

SMMコールアウト、別名SMM侵入攻撃

しかし、十分な歴史があるので、「現代の」攻撃に移りましょう。 SMM Incursion Attackから始めましょう。 前半の解説で言及されているマシール 。 この攻撃は午後に100年前に行われたため、2008年にBIOSの問題として最初に報告されましたが、2015年にCorey KallenbergとXeno Kovah によって再発見されたため、「モダン」という言葉を意図的に引用符で囲みました。 攻撃はmooのように単純です-SMIハンドラーがSMRAMの外部でコードを呼び出す場合、物理メモリへの書き込み権限を持つ攻撃者は呼び出されたコードを自分のコードに置き換え、SMMモードでこの方法で実行できます。 そして以来 UEFI開発者はEFIランタイムサービスの可用性に慣れているため、これらの同じサービスはくしゃみごとにSMIハンドラーから安定して呼び出されました（ほとんどの場合、これらはGetVariable、SetVariable、およびResetSystem呼び出しでした）。 脆弱性は非常に多くのシステムの影響を受けるため、影響を受けなかった場所を簡単に言うことができました。 私の概算では、ビルド日までにUEFIが2015年5月から6月より古い場合、この攻撃に対して脆弱なSMIハンドラーがいくつかあることが保証されます。 このようなバグのあるハンドラーからシステムを削除することは非常に困難です。 以前は、この動作は脆弱性とはまったく見なされておらず（「サービスはどのような愚か者をフックするのでしょうか？！」）、その単純なIBVコードエンコーダーはこれを行う方法を知りませんでした-現在でも、この問題の対象となるランタイムドライバーの更新が定期的に到着。 一般的に、すべてが非常に悲しいです。
SMRAMの外部のコードの呼び出しを防ぐために、Intelのエンジニアは特別なMSR_SMM_FEATURE_CONTROLを追加しました。そのようなコードへの呼び出しがマスク不能で回復不能なMCEを生成する特定のビットを設定した後、このようなMSRはHaswell以降のCPUのみにあり、この機能はファームウェアのデバッグ時間、そうでなければ、ユーザーは理解できないほどのハングのための分岐とダブでR＆D部門のドアに来るかもしれません-ほとんどの人は今それを動作させる必要がありますが、これはすべてあなたのセキュリティです-誇大宣伝されています。 フェニックスのエンジニアは、古いシステムおよびAMDプロセッサをベースとしたシステムの所有者のために、独自の方法で独創的なソリューションを見つけました。NXビットを使用し、SMMコードのメモリを設定してSMRAM外のコードの呼び出しがページフォールトで終了するようにし、 MCEにしっかりとぶら下がらないでください。 告白しますが、このソリューションはまだ実装していませんが、手が届くと間違いなくそれを行います。
通常のユーザーは、ルートからの不可解なコードの実行を防止することによってのみこの攻撃から保護できますが、残念ながら、これは現代のオペレーティングシステムでは実質的に非現実的です-権利のローカルな昇格には海と同じくらい多くのオプションがあり、手元には非常に多くのエクスプロイトがありますバック、言うことは不可能。 前述のXeno Kovahを引用するだけです。

パッチを適用してください！

DMA攻撃

別の興味深い攻撃、今回は独自のチップセットを使用します。 実際、最新のチップセットにはDMAコントローラーがあり、DRAM間およびDRAMとPCIeデバイスのメモリ間で、メモリとの間でデータを送信するタスクからCPUをオフロードするために使用されます。 さらに、独自のDMAコントローラーも持つことができるOSとPCIeデバイスの両方が、このような転送を開始できます。 さらに、OSからの起動の場合、データアクセス操作はチップセットによって実行されます。 プロセッサの設定が影響する場合は、かなり弱いです。 つまり 管理者権限を持つ攻撃者は、一方では彼によって、他方ではSMRAMによって制御されるメモリ領域でDMAを開始し、それに完全なアクセスを取得します。 同じことは、攻撃者が制御するPCIeデバイスのファームウェアでも実行できます。 DMA攻撃から保護するために、Intel DMAコントローラーには、TSEG位置情報が複製されるTSEGMBレジスターと、このコンテンツの変更を禁止するロックビットがあります。 ファームウェアの作成者がインストールを忘れた場合（または、S3の後の起動時に復元しますが、次のパートでさらに詳しく説明します）-攻撃することができます。 AMDチップセットにDMA保護があるかどうかはわかりませんが、近いうちに調べてみます。

SMMクロスバッファ攻撃

Intel ATRスペシャリストによって提示されたSMIによる攻撃。ポインターとバッファーサイズをパラメーターとして受け取り、書き込みます。 攻撃者は、バッファがRAM-SMRAM境界を越えるように、ポインタとサイズを転送できます。 SMIプロセッサはSMRAMにアクセスできるため、SMRAMの先頭でデータの一部を上書きします。 一連の状況が成功すると（つまり、少なくとも約500時間のデバッグ後）、ハンドラーは必要な攻撃方法でSMMマネージャーまたは他のハンドラーのサービス構造を書き換えることができ、任意のSMMコードを実行できるようになります。 攻撃は地獄のように複雑で標的にされていますが、かなり可能性があるため、2015年の初めから、バッファーへのポインターを受け入れるすべてのSMIハンドラーは、使用前に検証する必要があります。 古いシステムでは攻撃は機能しますが、ハッキングされるのはあなたである可能性はわずかです。

おわりに

さて、SMMを使用して多かれ少なかれ理解しました。次のパートでは、S3 BootScriptに対する攻撃について説明します。
ありがとう、安全なファームウェア。

PS
同志に感謝できない d_olexの SMMに関する記事とその攻撃-1 つおよび2つ 。 トピックに興味があり、英語で読むことができる人のために-両方を読む必要があります。