حماية من تجاوز سعة المخزن المؤقت

تعتمد هجمات "الكناري المُنهي" على ملاحظة أن معظم هجمات تجاوز سعة المخزن المؤقت تستند إلى عمليات معينة على السلاسل النصية تنتهي عند مُنهيات السلاسل. والرد على هذه الملاحظة هو أن "الكناري" يتكون من مُنهيات فارغة ، CR وLF و FF . ونتيجةً لذلك، يجب على المهاجم كتابة حرف فارغ قبل كتابة عنوان الإرجاع لتجنب تغيير "الكناري". يمنع هذا الهجمات التي تستخدم strcpy()طرقًا أخرى تُرجع قيمة عند نسخ حرف فارغ، بينما النتيجة غير المرغوب فيها هي معرفة قيمة "الكناري". حتى مع وجود هذه الحماية، قد يتمكن المهاجم من الكتابة فوق "الكناري" بقيمته المعروفة ومعلومات التحكم بقيم غير متطابقة، وبالتالي تجاوز رمز فحص "الكناري"، الذي يُنفذ قبل تعليمة الإرجاع من الاستدعاء الخاصة بالمعالج.

يتم توليد قيم الكناري العشوائية بشكل عشوائي، عادةً بواسطة برنامج خفي لجمع البيانات العشوائية ، وذلك لمنع المهاجم من معرفة قيمتها. في العادة، لا يكون من الممكن أو المعقول منطقيًا قراءة قيمة الكناري لاستغلالها؛ فهي قيمة آمنة لا يعرفها إلا من يحتاج إليها - أي رمز الحماية من تجاوز سعة المخزن المؤقت في هذه الحالة.

عادةً، يتم توليد قيمة عشوائية (Canary) عند بدء تشغيل البرنامج، وتُخزّن في متغير عام . يُملأ هذا المتغير عادةً بصفحات غير مُخصصة، بحيث يؤدي أي محاولة لقراءته باستخدام أي حيل تستغل الثغرات لقراءة البيانات من ذاكرة الوصول العشوائي (RAM) إلى حدوث خطأ في تجزئة الذاكرة ، مما يُنهي البرنامج. قد يظل من الممكن قراءة القيمة العشوائية إذا كان المهاجم يعرف مكانها أو استطاع جعل البرنامج يقرأ من مكدس الذاكرة.

تُعدّ مؤشرات XOR العشوائية مؤشرات عشوائية يتم تشفيرها باستخدام عملية XOR مع كل أو جزء من بيانات التحكم. وبهذه الطريقة، بمجرد تغيير قيمة المؤشر أو بيانات التحكم، تصبح قيمة المؤشر خاطئة.

تُعاني خوارزمية XOR العشوائية من نفس نقاط الضعف التي تُعاني منها خوارزمية Canary العشوائية، إلا أن طريقة "القراءة من المكدس" للحصول على قيمة Canary أكثر تعقيدًا بعض الشيء. يجب على المهاجم الحصول على قيمة Canary، والخوارزمية، وبيانات التحكم لإعادة توليد قيمة Canary الأصلية اللازمة لتزييف الحماية.

بالإضافة إلى ذلك، يمكن لتقنية XOR العشوائية (الكناري) الحماية من نوع معين من الهجمات التي تتضمن تجاوز سعة المخزن المؤقت في بنية البيانات إلى مؤشر لتغيير المؤشر ليشير إلى جزء من بيانات التحكم. وبسبب ترميز XOR، ستكون قيمة الكناري خاطئة إذا تم تغيير بيانات التحكم أو القيمة المُعادة. وبفضل المؤشر، يمكن تغيير بيانات التحكم أو القيمة المُعادة دون تجاوز سعة الكناري.

على الرغم من أن هذه المؤشرات تحمي بيانات التحكم من التعديل الناتج عن تغيير المؤشرات، إلا أنها لا تحمي أي بيانات أخرى أو المؤشرات نفسها. وتُعدّ مؤشرات الدوال مشكلةً خاصةً هنا، إذ يُمكن أن تتعرض للاختراق وتُنفّذ شيفرةً خبيثةً عند استدعائها.

طُبقت حماية اختراق المكدس لأول مرة بواسطة StackGuard في عام 1997، ونُشرت في ندوة USENIX الأمنية لعام 1998. ^{[ 11 ]} قُدم StackGuard كمجموعة من التصحيحات لواجهة Intel x86 الخلفية لـ GCC 2.7. تم دعم StackGuard لتوزيعة Immunix Linux من عام 1998 إلى عام 2003، وتم توسيعه ليشمل تطبيقات لـ terminator و random و random XOR canaries. اقتُرح تضمين StackGuard في GCC 3.x في وقائع قمة GCC لعام 2003، ^{[ 12 ]} ولكن لم يتحقق ذلك.

بين عامي 2001 و2005، طورت شركة IBM تصحيحات لبرنامج GCC لحماية الذاكرة من الاختراق، والمعروفة باسم ProPolice . ^{[ 13 ]} وقد حسّنت هذه التصحيحات فكرة StackGuard من خلال وضع مخازن مؤقتة بعد المؤشرات المحلية ومعاملات الدوال في إطار المكدس. ساعد ذلك في تجنب تلف المؤشرات، ومنع الوصول إلى مواقع الذاكرة العشوائية.

مع ذلك، رصد مهندسو ريد هات مشاكل في ProPolice، وفي عام 2005 أعادوا تنفيذ حماية تجاوز سعة المكدس لإدراجها في GCC 4.1. ^{[ 14 ] [ 15 ]} وقد أدخل هذا العمل -fstack-protectorعلامةً تحمي بعض الدوال المعرضة للخطر فقط، وعلامةً أخرى -fstack-protector-allتحمي جميع الدوال سواءً احتاجت إلى الحماية أم لا. ^{[ 16 ]}

في عام ٢٠١٢، قام مهندسو جوجل-fstack-protector-strong بتطبيق هذه الميزة لتحقيق توازن أفضل بين الأمان والأداء. ^{[ ١٧ ]} تحمي هذه الميزة أنواعًا أكثر من الوظائف المعرضة للاختراق مقارنةً -fstack-protectorبـ، ولكن ليس جميع الوظائف، مما يوفر أداءً أفضل -fstack-protector-all. وهي متاحة في GCC منذ الإصدار ٤.٩. ^{[ ١٨ ]}

تُجمَّع جميع حزم فيدورا-fstack-protector باستخدام منذ فيدورا كور 5، ومنذ -fstack-protector-strongفيدورا 20. ^{[ 19 ] [ 20 ]} تُجمَّع معظم حزم أوبونتو-fstack-protector باستخدام منذ الإصدار 6.10. ^{[ 21 ]} تُجمَّع جميع حزم آرتش لينكس-fstack-protector باستخدام منذ عام 2011. ^{[ 22 ]} تستخدم جميع حزم آرتش لينكس التي تم إنشاؤها منذ 4 مايو 2014 -fstack-protector-strong. ^{[ 23 ]} تُستخدم حماية المكدس فقط لبعض الحزم في ديبيان ، ^{[ 24 ]} ولنظام فري بي إس دي الأساسي فقط منذ الإصدار 8.0. ^{[ 25 ]} تُعد حماية المكدس قياسية في أنظمة تشغيل معينة، بما في ذلك أوبن بي إس دي ، ^{[ 26 ]} وجنتو المحصن ^{[ 27 ]} ودراغون فلاي بي إس دي .

لا تستطيع تقنيتا StackGuard و ProPolice الحماية من تجاوزات الذاكرة في البنى المُخصصة تلقائيًا والتي تتجاوز حدود مؤشرات الدوال. على الأقل، تُعيد ProPolice ترتيب عملية التخصيص لتخصيص هذه البنى قبل مؤشرات الدوال. وقد اقتُرحت آلية منفصلة لحماية المؤشرات في PointGuard ^{[ 28 ]} وهي متاحة على نظام التشغيل Microsoft Windows . ^{[ 29 ]}

تقوم مجموعة المترجمات من مايكروسوفت بتنفيذ حماية تجاوز سعة المخزن المؤقت منذ الإصدار 2003 من خلال مفتاح سطر الأوامر /GS ، والذي يتم تمكينه افتراضيًا منذ الإصدار 2005. ^{[ 30 ]} استخدام /GS- يعطل الحماية.

يمكن تفعيل الحماية من تجاوز سعة المكدس بواسطة علامة المترجم -qstackprotect. ^{[ 31 ]}

يدعم Clang نفس -fstack-protectorخيارات GCC ^{[ 32 ]} ونظام "مكدس آمن" أقوى ( -fsanitize=safe-stack ) مع تأثير منخفض مماثل على الأداء. ^{[ 33 ]} كما يحتوي Clang على ثلاثة كاشفات لتجاوز سعة المخزن المؤقت، وهي AddressSanitizer [ ^{6 ]} و UBSan [ ^{34 ]} وSafeCode غير الرسمي (آخر تحديث له لـ LLVM 3.0 ^{) . [ 35 ]}-fsanitize=address-fsanitize=bounds

تختلف هذه الأنظمة في مزاياها وعيوبها من حيث انخفاض الأداء، وزيادة استهلاك الذاكرة، وأنواع الأخطاء المكتشفة. وتُعدّ حماية المكدس ميزة قياسية في بعض أنظمة التشغيل، بما في ذلك OpenBSD . ^{[ 36 ]}

يدعم مُصرّف لغة C و C++ من إنتل الحماية من تجاوز سعة المكدس بخيارات مشابهة لتلك التي يوفرها GCC و Microsoft Visual Studio. ^{[ 37 ]}

Fail-Safe C ^{[ 7 ]} هو مترجم مفتوح المصدر وآمن للذاكرة من نوع ANSI C يقوم بفحص الحدود بناءً على المؤشرات السميكة والوصول إلى الذاكرة الموجهة للكائنات. ^{[ 38 ]}

ابتكر مايك فرانتزن تقنية StackGhost، وهي عبارة عن تعديل بسيط لروتينات ملء وتفريغ نافذة التسجيل ، مما يجعل استغلال ثغرات تجاوز سعة المخزن المؤقت أكثر صعوبة. تستخدم هذه التقنية ميزة فريدة في بنية SPARC من شركة Sun Microsystems ، وهي ميزة ملء وتفريغ نافذة التسجيل المؤجل، على المكدس ، وفي نفس الإطار ، للكشف بشفافية عن أي تعديلات على مؤشرات الإرجاع (وهي طريقة شائعة لاستغلال الثغرات للسيطرة على مسارات التنفيذ)، مما يوفر حماية تلقائية لجميع التطبيقات دون الحاجة إلى تعديل ملفاتها التنفيذية أو ملفات التعليمات البرمجية المصدرية. تأثيرها على الأداء ضئيل للغاية، حيث لا يتجاوز 1%. وقد قام مارك كيتينيس بحل مشكلات gdb الناتجة بعد عامين، مما سمح بتفعيل هذه الميزة. بعد ذلك، تم دمج كود StackGhost (وتحسينه) في إصدار SPARC من نظام التشغيل OpenBSD .