Microsoft, güvenilir yürütme ortamlarının (TEE) temel bir bileşeni olan Sanallaştırma Tabanlı Güvenlik (VBS) enklavlarının güvenliğini desteklemek için bir dizi teknik öneriyi tanıttı.
VBS enklavları, yüksek ayrıcalıklı aktörlerden bile şifreleme anahtarları gibi kritik verileri koruyarak, bir kullanıcı modu işleminde hassas belleğe ve kod yürütülmesini izole etmek için hipervisorun sanal güven seviyelerinden (VTLS) yararlanır.
Bununla birlikte, bu mimari, VTL1 yerleşimi ile VTL0 ana bilgisayar işlemi arasında benzersiz bir güven sınırı getirerek, geliştiricilerin güvenliğe nasıl yaklaşma konusunda bir paradigma değişimi gerektirir.
Çekirdek sürücüleri ile kullanıcı modu süreçleri veya ağ sunucuları ve müşteriler arasındaki geleneksel güven sınırlarından farklı olarak, VBS Enclave’in güven sınırı, ana bilgisayar sürecinde dahili olarak mevcuttur.
Bu dahili ayırma, ana bilgisayar enklavın belleğine erişemese de, yerleşim bölgesinin ana bilgisayarın belleği ile etkileşime girebileceği ve potansiyel güvenlik açıkları yaratabileceği anlamına gelir.
Microsoft’un önerileri, sağlam doğrulama uygulamalarını, güvenli veri işleme ve dikkatli tasarım kalıplarını vurgulayarak bu zorlukları ele almayı amaçlamaktadır.
Geliştiriciler için temel öneriler
Birincil yönergelerden biri, VTL0 ana bilgisayar işleminden verilere asla güvenmemektir.
Geliştiricilere, yerleşim bölgesinin bellek aralığının dışında bulunduklarından emin olmak için ana bilgisayardan geçirilen işaretçileri doğrulamaları tavsiye edilir.
API’leri kullanmak gibi EnclaveGetEnclaveInformation Başlatma sırasında yerleşim sınırlarının tanımlanmasına yardımcı olabilir ve yetkisiz bellek erişimini önleyebilir.
Ayrıca, geliştiriciler, yaygın olarak kontrol zamanı (Toctou) güvenlik açıkları olarak bilinen yarış koşullarını azaltmak için daha fazla işlem yapmadan önce VTL1’de veri yapılarının yerel kopyalarını oluşturmalıdır.
Bir başka kritik öneri de mümkün olduğunca yeniden giriş yapmaktan kaçınmaktır.
Yeniden girişimi, bir yerleşim yeri ana bilgisayar sürecine geri çağırdığında meydana gelir, bu da daha sonra başka bir dışa aktarılan işlev aracılığıyla yerleşime yeniden girebilir.
Bu model, kullanılmayan hatalara veya diğer eşzamanlılık sorunlarına yol açabilir.
Microsoft, veri bütünlüğünü tehlikeye atabilecek özyinelemeli kilitleme senaryolarını önlemek için kritik kilidi yerine SRW kilitleri kullanmanızı önerir.
Güvenliği daha da arttırmak için, şifreleme anahtarları gibi hassas veriler her zaman yerleşim bölgesi içinde üretilmeli ve güvenilir varlıklara güvenli bir şekilde iletilmedikçe asla sınırlarının dışında maruz kalmamalıdır.
Örneğin, Microsoft, bir yerleşimin bütünlüğünü doğrulamak için Azure Onaylama veya Ev sahibi Guardian Hizmeti gibi onaylama hizmetlerini kullanmanızı önerir.
Daha güvenli kalkınma uygulamalarını benimsemek
VBS enklavlarının sınırlı çalışma zamanı ortamı göz önüne alındığında, geliştiriciler daha güvenli kodlama uygulamalarını benimsemeye ve standart işlevleri yeniden keşfetmeleri için teşvik edilir.
C, Enclave geliştirme için resmi olarak desteklenen bir dil olsa da, Microsoft, C ++ standart kütüphanelerden yararlanma veya hatta gelişmiş bellek güvenliği özellikleri için Rust’u keşfetme gibi alternatif yaklaşımları vurgular.
Güvensiz davranışı kısıtlayarak ve Rust’un Borrow Checker gibi araçları kullanarak, geliştiriciler düşük seviyeli programlama ortamlarında bulunan güvenlik açıklarını en aza indirebilir.
Microsoft’un son önerileri, VBS enklavlarının ortaya koyduğu benzersiz zorlukları ele almak için güvenlik uygulamalarını uyarlamanın öneminin altını çiziyor.
Girişleri doğrulayarak, yeniden giriş tuzaklarından kaçınarak, hassas verileri güvenli bir şekilde yöneterek ve daha güvenli kodlama kalıplarını benimseyerek, geliştiriciler, yerleşimlerinin ortak güvenlik açıklarına karşı esnekliğini önemli ölçüde artırabilir.
Güvenilir yürütme ortamları gelişmeye devam ettikçe, bu yönergeler günümüzün giderek karmaşıklaşan tehdit manzarasında sağlam ve güvenli uygulamalar oluşturmak için kritik bir yol haritası olarak işlev görür.
Are you from SOC/DFIR Teams? – Analyse Malware Incidents & get live Access with ANY.RUN -> Start Now for Free.