UEFI モジュールのパッキングによる難読化

• Item type: Symposium(1)
• 公開日: 2022-10-17
• タイトル: UEFI モジュールのパッキングによる難読化
• タイトル / 言語: en
• タイトル: Obfuscation of UEFI Modules with Packer
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: UEFI, DXE, TPM2.0, AES, 難読化
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 早稲田大学
• 著者所属: NTTセキュリティ・ジャパン
• 著者所属: 早稲田大学／情報通信研究機構
• 著者所属(英): en
• 著者所属(英): Waseda University
• 著者所属(英): en
• 著者所属(英): NTT Security (Japan) KK
• 著者所属(英): en
• 著者所属(英): Waseda University / NICT
• 著者名: 松尾, 和輝; 丹田, 賢; 川古谷, 裕平; 森, 達哉
• 著者名(英): Kazuki, Matsuo; Satoshi, Tanda; Yuhei, Kawakoya; Tatsuya, Mori
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: UEFI (Unified Extensible Firmware Interface) は，ハードウェアの初期化や OS の起動を担う標準規格である．UEFI に準拠したプログラム（UEFI モジュール）は，OS のセキュリティ機構を回避できるため，悪用されるとより深刻な被害につながるリスクがある．UEFI モジュールの脆弱性の一例として，DXE (UEFI のブートフェーズの内の一つ) でのバッファーオーバーフロー脆弱性が報告されている．攻撃者がこうした脆弱性をみつけるためには，攻撃対象の PC モデルの DXE ドライバーを解析する必要がある．本研究は，攻撃者による DXE ドライバーの解析を妨害する手法として，パッキングによる難読化手法を提案する．中心的なアイディアは，端末ごとに異なる暗号鍵を TPM に格納し，AES でデータを暗号化することである．鍵を持たない攻撃者がリバーシングを行う事は不可能である．本論文では，提案手法が攻撃者による様々な脆弱性情報の取得・解析方法に対し，有効に機能することを示す．提案手法の実装・性能評価を行った結果，1つの UEFI モジュールをパックするために必要なオーバーヘッドは，約 0.01 秒の実行時間の増加，2081 bytes のデータ増加であり，提案手法が実用的であることを明らかにした．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: UEFI (Unified Extensible Firmware Interface) is a standard for hardware initialization and OS booting. Since, UEFI-compliant programs (UEFI modules) can bypass OS security mechanisms, it will cause serious damage to the system if being exploited. As an example of vulnerability found in UEFI module, there is a buffer overflow vulnerability in DXE (one of the UEFI boot phases). In order for an attacker to find these vulnerabilities, it is necessary to analyze the DXE driver of the target PC model. In this research, we propose an obfuscation method (packing) to prevent attackers from analyzing the DXE driver. The core concept is to store a different encryption key in the TPM for each terminal and encrypt the data with AES. In this way, attacker with no key could not be able to perform reversing. In this paper, we show that the proposed method works effectively against various vulnerability information acquisition and analysis by attackers. As a result of implementation and performance evaluation of the proposed method, the overhead required to pack one UEFI module is about 0.01 second increase in execution time and 2081 bytes increase in data, so the proposed method is practical.
• 書誌情報: コンピュータセキュリティシンポジウム2022論文集; p. 1071-1078, 発行日 2022-10-17
• 出版者 / 言語: ja
• 出版者: 情報処理学会