O suporte do Intel AEX Notify foi preparado para o Linux para ajudar a melhorar a segurança do SGX Enclave

 

As futuras CPUs da Intel e alguns processadores existentes por meio de uma atualização de microcódigo oferecerão suporte a um novo recurso chamado mecanismo de notificação Asynchronous EXit (AEX) para ajudar na segurança do enclave do Software Guard Extensions (SGX). Patches para o kernel Linux estão pendentes para implementar este suporte Intel AEX Notify com processadores capazes.

O mecanismo de notificação Asynchronous EXit (AEX) da Intel permite que os enclaves SGX executem um manipulador após um evento AEX. Esses manipuladores podem ser usados ​​para mitigar o SGX-Step como uma estrutura de ataque para controle preciso da execução do enclave.

Os patches Linux pendentes confirmam que o suporte AEX Notify será encontrado em processadores futuros (presumivelmente Sapphire Rapids), bem como em alguns processadores existentes por meio de atualização de microcódigo.

Este patch no branch x86/sgx do TIP resume o AEX Notify e o trabalho do lado do kernel:

== AEX Notify Background ==

"Extensões do conjunto de instruções de arquitetura Intel e recursos futuros - versão 45" está disponível. Há um novo capítulo:

Notificação de saída de enclave assíncrona e a função de folha de usuário EDECCSSA.

A saída dos enclaves pode ser síncrona e consensual (EEXIT por exemplo) ou assíncrona (em uma interrupção ou falha). Os assíncronos podem evidentemente ser explorados em enclaves de passo único, sobre os quais outras coisas impertinentes podem ser construídas.

O AEX Notify será disponibilizado em processadores futuros e em alguns processadores mais antigos por meio de atualizações de microcódigo.

== O problema ==

Atualmente, esses ataques são totalmente opacos para o enclave, já que o hardware faz o salvamento/restauração nos bastidores. O mecanismo Asynchronous Enclave Exit Notify (AEX Notify) fornece aos enclaves a capacidade de detectar e mitigar a exposição potencial a esses tipos de ataques.

== A Solução ==

Defina o novo valor de atributo para Notificação AEX. Certifique-se de que o atributo seja limpo da lista de atributos reservados. Em vez de adicionar às listas de código aberto de atributos individuais, adicione listas nomeadas de atributos privilegiados (não permitidos por padrão) e não privilegiados (permitidos por padrão). Adicione o atributo de notificação AEX como um atributo sem privilégios, que impedirá que o kernel rejeite enclaves com ele definido.

Consulte a documentação da Intel para obter mais detalhes sobre o suporte de notificação de saída do enclave assíncrono.

O patch agora no x86/sgx do TIP adiciona suporte para permitir que os enclaves seguros usem o AEX Notify. Um patch separado também da Intel expõe a função de folha de usuário EDECCSSA para os convidados do KVM. Com agora atingindo a área TIP x86, espera-se que o código seja mesclado para a janela de mesclagem do Linux 6.2 ou, uma vez que está relacionado à segurança, pode até tentar pousar para o Linux 6.1 se for considerado importante o suficiente para obter esse recurso de enclave SGX mais seguro lá fora para ajudar a prevenir ataques de enclave.

Fonte

Até a próxima !!