Intel gaat nieuwe hardwarematige malwarebescherming verwerken in zijn toekomstige Tiger Lake-chips. Die moet bepaalde types van aanvallen preventief onmogelijk maken, al is het de vraag of dat plan we zo waterdicht is.
Wanneer de Tiger Lake-cpu’s van Intel eindelijk uitkomen, dan zullen die extra ingebouwde beveiliging aan boord hebben. Intel gaat de chips voorzien van wat het Control-Flow Enforcement-technologie of CET noemt. CET is een hardwarematig ingebouwde bescherming die bepaalde types van cyberaanval onmogelijk moet maken. Het gaat specifiek over ‘return oriented programming’ (ROP). Met die techniek probeert een aanvaller beperkingen te omzeilen die hem of haar tegenhouden om eigen malafide code te laten uitvoeren.
Malware puzzelen
Met ROP probeert de aanvaller in de plaats daarvan aan de slag te gaan met legitieme code die al in het geheugen is geladen. Het gaat daarbij om uitvoerbare code van normale toepassingen zoals browsers. Die zitten in het geheugen klaar op uitgevoerd te worden op een specifieke plaats. Een aanvaller kan echter proberen om de code van plaats te wisselen zodat ze in een andere volgorde wordt uitgevoerd. Bestaande legitieme componenten worden zo gecombineerd tot een geheel dat wel een kwaadaardig doel heeft.
Bescherming tegen een ROT-aanval op softwareniveau is moeilijk aangezien de misbruikte code legitiem is en als dusdanig werd goedgekeurd. Intel verhuist de beveiliging daarom naar de cpu zelf. CET introduceert een control stack van geheugen dat onaanpasbaar is door derden. Die stack houdt de adressen van reeds geladen code bij, zodat een aanvaller ze niet meer van plaats kan verwisselen en aan elkaar plakken tot Frankenstein-malware. De CET-beveiliging zorgt ervoor dat de cpu kan zien dat er geprutst is binnen het geheugen, zodat een aanval wordt geblokkeerd.
Kwetsbaarheden
Intel voegt nog enkele andere kleinere beveiligingsfuncties toe aan CET die ervoor moeten zorgen dat Tiger Lake-chips veiliger zijn dan hun voorgangers. Het is niet de eerste keer dat Intel probeert om een antwoord te bieden op een beveiligingsvraag via zijn cpu’s en dat liep niet altijd even goed af. Denk maar aan de Software Guard eXtensions (SGX) die een veilige enclave moesten bieden om gevoelige code uit te voeren, maar zelf kwetsbaarheden bevatten.
Belangrijk verschil is dat CET geen nieuwe functies toevoegt en enkel een beveiligingslaag is. Een kwetsbaarheid in CET betekent dat de bescherming minder efficiënt is dan gehoopt, maar ze geeft geen extra tools aan aanvallers die vatbaar zijn voor misbruik.
Beveiligingsonderzoeker Alex Ionescu en zijn collega’s onderzochten CET al, en ontwikkelden volgens Ars Technica nu al een manier om de bescherming te omzeilen. Zelfs wanneer die praktisch bruikbaar is, zal CET de beveiliging nog ten goede komen door aanvallen op z’n minst moeilijker te maken.