Perché MTE?
I bug di sicurezza della memoria, che sono errori nella gestione della memoria nei linguaggi di programmazione nativi, sono problemi comuni relativi al codice. Portano a vulnerabilità di sicurezza e problemi di stabilità.
Armv9 ha introdotto l'estensione Arm Memory Tagging (MTE), un'estensione hardware che consente di rilevare bug use-after-free e buffer-overflow nel codice nativo.
Verifica la presenza di assistenza
A partire da Android 13, alcuni dispositivi supportano la funzionalità MTE. Per verificare se il tuo dispositivo è in esecuzione con la funzionalità MTE abilitata, esegui questo comando:
adb shell grep mte /proc/cpuinfo
Se il risultato è Features : [...] mte
, il dispositivo funziona con la funzionalità MTE
abilitata.
Alcuni dispositivi non abilitano la funzionalità MTE per impostazione predefinita, ma consentono agli sviluppatori di riavviare con la funzionalità MTE abilitata. Si tratta di una configurazione sperimentale non consigliata per il normale utilizzo in quanto potrebbe ridurre le prestazioni o la stabilità del dispositivo, ma può essere utile per lo sviluppo di app. Per accedere a questa modalità, vai a Opzioni sviluppatore > Estensione per il tagging della memoria nell'app Impostazioni. Se questa opzione non è presente, il dispositivo non supporta l'attivazione di MTE in questo modo.
Modalità operative degli MTE
MTE supporta due modalità: SYNC e ASYNC. La modalità SYNC fornisce informazioni diagnostiche migliori e, pertanto, è più adatta ai fini di sviluppo, mentre la modalità ASYNC offre prestazioni elevate che ne consentono l'attivazione per le app rilasciate.
Modalità sincrona (SYNC)
Questa modalità è ottimizzata per il debug anziché per le prestazioni e può essere utilizzata come strumento preciso di rilevamento di bug quando è accettabile un overhead delle prestazioni superiore. Se abilitata, la funzionalità MTE SYNC agisce anche come mitigazione della sicurezza.
In caso di mancata corrispondenza dei tag, il processore termina il processo sull'istruzione del carico o del datastore con SIGSEGV (con si_code SEGV_MTESERR) e le informazioni complete sull'accesso alla memoria e sull'indirizzo in errore.
Questa modalità è utile durante i test come alternativa più rapida a HWASan, che non richiede la ricompilazione del codice, oppure in produzione, quando la tua app rappresenta una superficie di attacco vulnerabile. Inoltre, quando la modalità ASYNC (descritta di seguito) rileva un bug, è possibile ottenere una segnalazione di bug accurata utilizzando le API runtime per passare alla modalità SYNC.
Inoltre, quando viene eseguito in modalità SYNC, l'allocatore Android registra la traccia stack di ogni allocazione e deallocation e li utilizza per fornire report sugli errori migliori che includono la spiegazione di un errore di memoria, come use-after-free o buffer-overflow, e analisi dello stack degli eventi di memoria pertinenti (consulta Comprensione dei report MTE per maggiori dettagli). Questi report forniscono più informazioni contestuali e semplificano l'individuazione e la correzione dei bug rispetto alla modalità ASYNC.
Modalità asincrona (ASYNC)
Questa modalità è ottimizzata per garantire prestazioni superiori all'accuratezza delle segnalazioni di bug e può essere utilizzata per rilevare i bug di sicurezza della memoria con un overhead ridotto. In caso di mancata corrispondenza dei tag, il processore continua l'esecuzione fino alla voce del kernel più vicina (come una chiamata di sistema o un interruzione di timer), dove termina il processo con SIGSEGV (codice SEGV_MTEAERR) senza registrare l'indirizzo in errore o l'accesso alla memoria.
Questa modalità è utile per mitigare le vulnerabilità di sicurezza della memoria in produzione su codebase ben testati dove la densità dei bug di sicurezza della memoria è bassa, ottenuta utilizzando la modalità SYNC durante il test.
Abilita MTE
Per un singolo dispositivo
Per la sperimentazione, le modifiche relative alla compatibilità delle app possono essere utilizzate per impostare il valore predefinito dell'attributo memtagMode
per un'applicazione che non specifica alcun valore nel file manifest (o specifica "default"
).
Puoi trovarle in Sistema > Avanzate > Opzioni sviluppatore > Modifiche
alla compatibilità delle app nel menu delle impostazioni globali. L'impostazione di NATIVE_MEMTAG_ASYNC
o NATIVE_MEMTAG_SYNC
attiva la funzionalità MTE per una determinata applicazione.
In alternativa, può essere impostato utilizzando il comando am
come segue:
- Per la modalità SYNC:
$ adb shell am compat enable NATIVE_MEMTAG_SYNC my.app.name
- Per la modalità ASYNC:
$ adb shell am compat enable NATIVE_MEMTAG_ASYNC my.app.name
A Gradle
Puoi abilitare MTE per tutte le build di debug del tuo progetto Gradle inserendo
<?xml version="1.0" encoding="utf-8"?>
<manifest xmlns:android="http://schemas.android.com/apk/res/android"
xmlns:tools="http://schemas.android.com/tools">
<application android:memtagMode="sync" tools:replace="android:memtagMode"/>
</manifest>
in app/src/debug/AndroidManifest.xml
. Questa operazione sostituirà il valore memtagMode
del manifest con la sincronizzazione per le build di debug.
In alternativa, puoi abilitare MTE per tutte le build di un buildType personalizzato. Per farlo, crea il tuo buildType e inserisci il codice XML in app/src/<name of buildType>/AndroidManifest.xml
.
Per un APK su qualsiasi dispositivo supportato
La funzionalità MTE è disattivata per impostazione predefinita. Le app che vogliono utilizzare MTE possono farlo impostando android:memtagMode
nel tag <application>
o <process>
nella AndroidManifest.xml
.
android:memtagMode=(off|default|sync|async)
Se impostato sul tag <application>
, l'attributo influisce su tutti i processi utilizzati
dall'applicazione e può essere sostituito per singoli processi impostando
il tag <process>
.
Crea con la strumentazione
L'abilitazione di MTE come spiegato in precedenza consente di rilevare i bug che danneggiano la memoria nell'heap nativo. Per rilevare un danneggiamento della memoria nello stack, oltre ad abilitare MTE per l'app, il codice deve essere ricreato con la strumentazione. L'app risultante verrà eseguita solo su dispositivi che supportano la funzionalità MTE.
Per creare il codice nativo della tua app (JNI) con MTE, segui questi passaggi:
build-ndk
Nel file Application.mk
:
APP_CFLAGS := -fsanitize=memtag -fno-omit-frame-pointer -march=armv8-a+memtag
APP_LDFLAGS := -fsanitize=memtag -fsanitize-memtag-mode=sync -march=armv8-a+memtag
Marca
Per ogni target nel file CMakeLists.txt:
target_compile_options(${TARGET} PUBLIC -fsanitize=memtag -fno-omit-frame-pointer -march=armv8-a+memtag)
target_link_options(${TARGET} PUBLIC -fsanitize=memtag -fsanitize-memtag-mode=sync -march=armv8-a+memtag)
Esegui l'app
Dopo aver attivato la funzionalità MTE, utilizza e testa la tua app come di consueto. Se viene rilevato un problema di sicurezza della memoria, la tua app ha un arresto anomalo con un tombstone simile a questo (nota
SIGSEGV
con SEGV_MTESERR
per SYNC o SEGV_MTEAERR
per ASYNC):
pid: 13935, tid: 13935, name: sanitizer-statu >>> sanitizer-status <<<
uid: 0
tagged_addr_ctrl: 000000000007fff3
signal 11 (SIGSEGV), code 9 (SEGV_MTESERR), fault addr 0x800007ae92853a0
Cause: [MTE]: Use After Free, 0 bytes into a 32-byte allocation at 0x7ae92853a0
x0 0000007cd94227cc x1 0000007cd94227cc x2 ffffffffffffffd0 x3 0000007fe81919c0
x4 0000007fe8191a10 x5 0000000000000004 x6 0000005400000051 x7 0000008700000021
x8 0800007ae92853a0 x9 0000000000000000 x10 0000007ae9285000 x11 0000000000000030
x12 000000000000000d x13 0000007cd941c858 x14 0000000000000054 x15 0000000000000000
x16 0000007cd940c0c8 x17 0000007cd93a1030 x18 0000007cdcac6000 x19 0000007fe8191c78
x20 0000005800eee5c4 x21 0000007fe8191c90 x22 0000000000000002 x23 0000000000000000
x24 0000000000000000 x25 0000000000000000 x26 0000000000000000 x27 0000000000000000
x28 0000000000000000 x29 0000007fe8191b70
lr 0000005800eee0bc sp 0000007fe8191b60 pc 0000005800eee0c0 pst 0000000060001000
backtrace:
#00 pc 00000000000010c0 /system/bin/sanitizer-status (test_crash_malloc_uaf()+40) (BuildId: 953fc93301472d0b72709b2b9a9f6f30)
#01 pc 00000000000014a4 /system/bin/sanitizer-status (test(void (*)())+132) (BuildId: 953fc93301472d0b72709b2b9a9f6f30)
#02 pc 00000000000019cc /system/bin/sanitizer-status (main+1032) (BuildId: 953fc93301472d0b72709b2b9a9f6f30)
#03 pc 00000000000487d8 /apex/com.android.runtime/lib64/bionic/libc.so (__libc_init+96) (BuildId: 6ab39e35a2fae7efbe9a04e9bbb14331)
deallocated by thread 13935:
#00 pc 000000000004643c /apex/com.android.runtime/lib64/bionic/libc.so (scudo::Allocator<scudo::AndroidConfig, &(scudo_malloc_postinit)>::quarantineOrDeallocateChunk(scudo::Options, void*, scudo::Chunk::UnpackedHeader*, unsigned long)+688) (BuildId: 6ab39e35a2fae7efbe9a04e9bbb14331)
#01 pc 00000000000421e4 /apex/com.android.runtime/lib64/bionic/libc.so (scudo::Allocator<scudo::AndroidConfig, &(scudo_malloc_postinit)>::deallocate(void*, scudo::Chunk::Origin, unsigned long, unsigned long)+212) (BuildId: 6ab39e35a2fae7efbe9a04e9bbb14331)
#02 pc 00000000000010b8 /system/bin/sanitizer-status (test_crash_malloc_uaf()+32) (BuildId: 953fc93301472d0b72709b2b9a9f6f30)
#03 pc 00000000000014a4 /system/bin/sanitizer-status (test(void (*)())+132) (BuildId: 953fc93301472d0b72709b2b9a9f6f30)
allocated by thread 13935:
#00 pc 0000000000042020 /apex/com.android.runtime/lib64/bionic/libc.so (scudo::Allocator<scudo::AndroidConfig, &(scudo_malloc_postinit)>::allocate(unsigned long, scudo::Chunk::Origin, unsigned long, bool)+1300) (BuildId: 6ab39e35a2fae7efbe9a04e9bbb14331)
#01 pc 0000000000042394 /apex/com.android.runtime/lib64/bionic/libc.so (scudo_malloc+36) (BuildId: 6ab39e35a2fae7efbe9a04e9bbb14331)
#02 pc 000000000003cc9c /apex/com.android.runtime/lib64/bionic/libc.so (malloc+36) (BuildId: 6ab39e35a2fae7efbe9a04e9bbb14331)
#03 pc 00000000000010ac /system/bin/sanitizer-status (test_crash_malloc_uaf()+20) (BuildId: 953fc93301472d0b72709b2b9a9f6f30)
#04 pc 00000000000014a4 /system/bin/sanitizer-status (test(void (*)())+132) (BuildId: 953fc93301472d0b72709b2b9a9f6f30)
Learn more about MTE reports: https://source.android.com/docs/security/test/memory-safety/mte-report
Per ulteriori dettagli, consulta la sezione Informazioni sui report MTE nella documentazione di AOSP. Puoi anche eseguire il debug dell'app con Android Studio e il debugger si ferma in corrispondenza della riga, causando l'accesso alla memoria non valida.
Utenti avanzati: utilizzo di MTE nell'allocatore personale
Per utilizzare la funzione MTE per la memoria non allocata tramite i normali allocatori di sistema, devi modificare l'allocatore in modo da taggare memoria e puntatori.
Le pagine per l'allocatore devono essere allocate utilizzando PROT_MTE
nel
flag prot
di mmap
(o mprotect
).
Tutte le allocazioni con tag devono essere allineate a 16 byte, poiché i tag possono essere assegnati solo per blocchi da 16 byte (noti anche come granuli).
Prima di restituire un puntatore, devi utilizzare l'istruzione IRG
per generare un tag casuale e memorizzarlo nel puntatore.
Segui queste istruzioni per assegnare un tag alla memoria sottostante:
STG
: esegui il tagging di un singolo granulo da 16 byteST2G
: tagga due granuli da 16 byteDC GVA
: tag cacheline con lo stesso tag
In alternativa, anche le seguenti istruzioni inizializzano la memoria a zero:
STZG
: assegna tag e zero-inizializzano un singolo granello da 16 byteSTZ2G
: il tag e lo zero inizializzano due granuli da 16 byteDC GZVA
: tag e nessuna inizializzazione della cacheline con lo stesso tag
Tieni presente che queste istruzioni non sono supportate su CPU meno recenti, quindi devi eseguirle in modo condizionale quando la funzionalità MTE è abilitata. Puoi verificare se la funzionalità MTE è abilitata per il tuo processo:
#include <sys/prctl.h>
bool runningWithMte() {
int mode = prctl(PR_GET_TAGGED_ADDR_CTRL, 0, 0, 0, 0);
return mode != -1 && mode & PR_MTE_TCF_MASK;
}
L'implementazione Scudo potrebbe esserti utile come riferimento.
Scopri di più
Per saperne di più, consulta la Guida dell'utente di MTE per sistema operativo Android scritta da Arm.