MOBILE ROOTKITS : EXPLOITING AND ROOTKITING ARM TRUSTZONE(PDF)

올해는 BlackHat에 한번 가고 싶었음

바로 이것 때문에...

MOBILE ROOTKITS: EXPLOITING AND ROOTKITTING ARM TRUSTZONE 

Exploiting and rootkitting ARM-based devices gets more and more interesting. This talk will focus on the exploitation of TEEs (Trusted Execution Environments) running in ARM TrustZone to hide a TrustZone-based-rootkit (Presented at Black Hat EU 2013).

어떻게 문제를 접근했나 직접 눈으로 보고 싶었지만 어쩔 수 없었고... 

발표자료라도 볼라 했는데, 자료 공개가 안되어 있었음

그러다..."Hack in Paris" 에서 해당 발표자의 자료를 볼 수 있었음!!!! 정독 들어감

출처는 여기...https://www.hackinparis.com/sites/hackinparis.com/files/Slidesthomasroth.pdf

Next generation mobile rootkits(trustzone).pdf

(소감)

- 크게 2가지 내용을 언급함

(1) IRQ/FIQ vector table 저장하여 조작하는 방식

(2) normal world 에서 secure world 메모리 영역을 접근하는 방식

그래서 공격자는 이러한 내용이 가능하다고 함

• access all user data

• manipulate memory of everything

• communicate (kind of)

- 이내용에 대해

(1) IRQ/FIQ vector table 저장하여 조작하는 방식

- 해당 업계에서 이러한 위협에 대한 논의가 진작부터 있었음, 

(2) normal world 에서 secure world 메모리 영역을 접근하는 방식

- 이것은 좀 확인해 봐야하는데, 과거에도 무리는 아니라고 생각했음

--> 그러나, 이것이 문제가 되지는 않음.  

--> 이유는 억세스를 하더라도 모두 암호화된 값

* 아아...그런데 이건 금융모듈 관점이고, DRM 관점이라면 애기가 다를 수 있음. 나는 금융모듈 관점으로 봐서..

여하튼....

trustzone 구조가 bootloader 부터 시작되는 부분이라, 사실 좀 복잡함

그리고 모듈에 대한 무결성을 보증하기 위해 사용되는 각종 키분배 시스템 구조 또한 매우 복잡함(chain of trust)

문제가 될지 안될지는 따져봐야겠지만...

가장 중요한건 secure world 내에 있는 암호 모듈과 KEY가...

컨퍼런스에서 했던 기법으로 분석되어 유출되고, 

심지어 변조된 모듈이 secure world에서 이용 가능할 경우....는 사실 매우 심각함.