ABSTRACTRecent micro-architectural

ABSTRACT
Recent micro-architectural research has proposed various schemes
to enhance processors with additional tags to track various properties
of a program. Such a technique, which is usually referred to as
information flow tracking, has been widely applied to secure software
execution (e.g., taint tracking), protect software privacy and
improve performance (e.g., control speculation).
In this paper, we propose a novel use of information flow tracking
to obfuscate the whole control flow of a program with only
modest performance degradation, to defeat malicious code injection,
discourage software piracy and impede malware analysis. Specifically,
we exploit two common features in information flow tracking:
the architectural support for automatic propagation of tags and
violation handling of tag misuses. Unlike other schemes that use
tags as oracles to catch attacks (e.g., taint tracking) or speculation
failures, we use the tags as flow-sensitive predicates to hide normal
control flow transfers: the tags are used as predicates for control
flow transfers to the violation handler, where the real control flow
transfer happens.
We have implemented a working prototype based on Itanium
processors, by leveraging the hardware support for control speculation.
Experimental results show that BOSH can obfuscate the
whole control flow with only a mean of 26.7% (ranging from 4%
to 59%) overhead on SPECINT2006. The increase in code size and
compilation time is also modest.
Categories and Subject Descriptors
K.6.5 [Management of Computing and Information Systems]:
Security and Protection—unauthorized access
General Terms
Security
∗This research was funded by China National 973 Plan under grant
numbered 2005CB321905, National Science Foundation of China
under grant numbered 90818015 and a research grant from Intel.
Permission to make digital or hard copies of all or part of this work for
personal or classroom use is granted without fee provided that copies are
not made or distributed for profit or commercial advantage and that copies
bear this notice and the full citation on the first page. To copy otherwise, to
republish, to post on servers or to redistribute to lists, requires prior specific
permission and/or a fee.
MICRO’09, December 12–16, 2009, New York, NY, USA.
Copyright 2009 ACM 978-1-60558-798-1/09/12 ...$10.00.
Keywords
Control Flow Obfuscation, Information Flow Tracking, Opaque
Predicate, Control Speculation
1. INTRODUCTION
Reverse engineering has good applications such as recovering
valuable algorithms from legacy software, uncovering protocols
and file forms [8] for intrusion detection systems. However, it
also has many downsides. For example, software hackers often
use reverse engineering tools to discover the software vulnerabilities
and inject malicious code, especially for proprietary software.
For example, the CodeRed worm [30], was released after “reverseengineering
the binary code” [17] of Microsoft IIS server. Meanwhile,
software piracy, enabled by reverse engineering, is a severe
threat to software industry.
Program obfuscation [6, 28, 18, 24] is a software protection tool
to mitigate the security problems and software piracy raised by
reverse engineering. It works by transforming a program into a
functionally-equivalent counterpart, which however poses a significant
barrier to uncover the high-level semantics and the structure
of the program.
Though dynamic analysis virtually can reveal the real execution
traces of any obfuscated programs, it is usually difficult to carry
out in practice due to the required time and space. Modern processor
executes billions of instructions per-second, which requires
impractical amount of resources to collect traces and to apply traditional
analysis techniques, while deciding when and where to start
collecting traces is also difficult on the obfuscated program. Finally,
dynamic analysis has the coverage problem in that it may
require sufficient test cases to expose many bugs and vulnerabilities,
which are usually hidden in rare program paths. This will add
to the already time- and resource-consuming process. Thus, there
are considerable research interests in providing program obfuscation
techniques, to force adversaries to switch to dynamic analysis
techniques.
Previous obfuscating approaches mostly use program transformations
that rely on opaque predicates1
[6] to obfuscate the control
flow transfers, and then insert bogus code in untaken paths to obfuscate
the data flow. Typical program transformations include control
flow flattening [28], function pointers [22], branch functions [18],
based on the fact that interprocedural alias analysis and pointer
analysis are NP-hard [6, 28, 22]. However, these approaches usually
come in with notable performance degradation if applied on
the whole program level. For example, the control flattening approach
[28] can incur performance overhead of more than 5X if
1A predicate is opaque if the value is known by an obfuscator, but
hard to deduce by a deobfuscator.

Kết quả (Việt) 1:

TÓM TẮTNghiên cứu vi kiến trúc gần đây đã đề xuất các chương trìnhđể tăng cường các bộ vi xử lý với thẻ bổ sung để theo dõi các tài sảncủa chương trình. Một kỹ thuật như vậy, mà thường được gọi làdòng chảy thông tin theo dõi, đã được áp dụng rộng rãi để phần mềm bảo mậtthực hiện (ví dụ như, taint theo dõi), bảo vệ phần mềm bảo mật vàcải thiện hiệu suất (ví dụ như, kiểm soát suy đoán).Trong bài này, chúng tôi đề xuất một sử dụng cuốn tiểu thuyết của dòng chảy thông tin theo dõiđể làm thành tối tăm dòng toàn bộ điều khiển của một chương trình với duy nhấtsự xuống cấp hiệu năng khiêm tốn, để đánh bại tiêm mã độc hại,không khuyến khích vi phạm bản quyền phần mềm và cản trở việc phân tích phần mềm độc hại. Cụ thể,chúng ta khai thác hai tính năng phổ biến trong dòng chảy thông tin theo dõi:sự hỗ trợ kiến trúc cho các tuyên truyền tự động các thẻ vàvi phạm các xử lý của thẻ misuses. Không giống như các chương trình khác sử dụngTags như oracles để bắt cuộc tấn công (ví dụ như, taint theo dõi) hoặc suy đoánthất bại, chúng tôi sử dụng các thẻ như nhạy cảm với dòng chảy predicates để ẩn bình thườngkiểm soát dòng chảy chuyển: Các thẻ được sử dụng như predicates để kiểm soátdòng chảy chuyển để xử lý vi phạm, mà thực sự kiểm soát dòng chảychuyển giao xảy ra.Chúng tôi đã thực hiện một mẫu thử nghiệm làm việc dựa trên Itaniumbộ vi xử lý, bằng cách tận dụng sự hỗ trợ phần cứng cho kiểm soát suy đoán.Kết quả thử nghiệm cho thấy BOSH có thể làm thành tối tăm cáckiểm soát toàn bộ dòng chảy với chỉ một có nghĩa là 26,7% (khác nhau, từ 4%với 59%) trên không trên SPECINT2006. Sự gia tăng kích thước mã vàtrình biên dịch thời gian cũng là khiêm tốn.Thể loại và bộ mô tả chủ đềK.6.5 [quản lý của máy tính và hệ thống thông tin]:Bảo mật và bảo vệ-truy cập trái phépTổng điều khoảnAn ninh∗This nghiên cứu được tài trợ bởi Trung Quốc quốc gia 973 kế hoạch theo cấpsố 2005CB321905, Quỹ khoa học quốc gia của Trung Quốctheo cấp số 90818015 và một nghiên cứu cấp từ Intel.Sự cho phép để làm cho kỹ thuật số hoặc cứng bản sao của tất cả hoặc một phần của công việc này chosử dụng cá nhân hoặc lớp học được cấp cước với điều kiện là bản sao cókhông được thực hiện hoặc phân phối cho lợi nhuận hoặc lợi thế thương mại và bản sao đóghi thông báo này và trích dẫn đầy đủ trên trang đầu tiên. Để sao chép bằng cách khác, đểtrích, đăng trên máy chủ hoặc phân phối lại vào danh sách, yêu cầu cụ thể trướcsự cho phép và/hoặc một khoản phí.VI ' 09, 12-16 tháng 12 năm 2009, New York, NY, Hoa Kỳ.Bản quyền 2009 ACM 978-1-60558-798-1/09/12... $10,00.Từ khóaKiểm soát dòng chảy Obfuscation, dòng chảy thông tin theo dõi, đụcVị ngữ, kiểm soát đầu cơ1. GIỚI THIỆUKỹ thuật đảo ngược có các ứng dụng tốt như phục hồiCác thuật toán có giá trị từ di sản phần mềm, giao thức khám phávà nộp mẫu đơn [8] Đối với hệ thống phát hiện xâm nhập. Tuy nhiên, nócũng có nhiều nhược điểm. Ví dụ, phần mềm hacker thườngsử dụng công cụ kỹ thuật đảo ngược để khám phá các lỗ hổng phần mềmvà tiêm mã độc hại, đặc biệt là cho phần mềm độc quyền.Ví dụ, sâu CodeRed [30], được phát hành sau khi "reverseengineeringmã nhị phân"[17] của máy chủ Microsoft IIS. Trong khi đó,vi phạm bản quyền phần mềm, kích hoạt bởi kỹ thuật đảo ngược, là một nghiêm trọngmối đe dọa cho ngành công nghiệp phần mềm.Chương trình obfuscation [6, 28, 18, 24] là một công cụ bảo vệ phần mềmđể giảm thiểu các vấn đề an ninh và vi phạm bản quyền phần mềm lớn lên bởiđảo ngược kỹ thuật. Nó hoạt động bằng cách chuyển đổi một chương trình vào mộtđối tác tương đương chức năng, Tuy nhiên, đặt ra một đáng kểCác rào cản để khám phá những ngữ nghĩa cấp cao và cấu trúccủa chương trình.Mặc dù năng động phân tích hầu như có thể tiết lộ thực sự thực hiệndấu vết của bất kỳ chương trình obfuscated, nó là thường khó khăn để thực hiệntrong thực tế do yêu cầu thời gian và không gian. Bộ vi xử lý hiện đạithực hiện hàng tỷ của hướng dẫn cho một thứ hai, mà yêu cầukhông thực tế số lượng tài nguyên để thu thập các dấu vết và áp dụng truyền thốngkỹ thuật phân tích, trong khi quyết định khi nào và nơi để bắt đầuthu thập dấu vết cũng là khó khăn trên chương trình obfuscated. Cuối cùng,phân tích năng động có vấn đề phạm vi bảo hiểm trong đó nó có thểyêu cầu trường hợp thử nghiệm đủ để lộ nhiều lỗi và lỗ hổng,mà thường ẩn trong đường dẫn chương trình hiếm. Điều này sẽ thêmđể trình đã tốn thời gian - và tài nguyên. Do đó, cólà lợi ích đáng kể các nghiên cứu trong việc cung cấp chương trình obfuscationkỹ thuật, để buộc các đối thủ để chuyển sang động phân tíchkỹ thuật.Trước obfuscating phương pháp tiếp cận chủ yếu sử dụng chương trình biến đổimà dựa vào đục predicates1[6] để làm thành tối tăm sự kiểm soátlưu chuyển tiền, và sau đó chèn mã không có thật trong các đường dẫn untaken để làm thành tối tămluồng dữ liệu. Điển hình chương trình biến đổi bao gồm kiểm soátdòng chảy dẹt [28], con trỏ chức năng [22], chi nhánh chức năng [18],Dựa trên thực tế là phân tích interprocedural bí danh và con trỏphân tích là NP-khó khăn [6, 28, 22]. Tuy nhiên, các phương pháp tiếp cận thườngđến ở với sự xuống cấp hiệu suất đáng chú ý Nếu áp dụng trênmức độ toàn bộ chương trình. Ví dụ, sự kiểm soát dẹt phương pháp tiếp cận[28] có thể phải chịu chi phí hiệu suất của nhiều hơn 5 X nếu1A predicate là đục nếu giá trị được biết đến bởi một obfuscator, nhưngkhó để suy ra bởi một deobfuscator.

Kết quả (Việt) 2:

TÓM TẮT
gần đây nghiên cứu vi kiến trúc đã đề xuất phương án khác nhau
để tăng cường xử lý với các thẻ bổ sung để theo dõi tài sản khác nhau
của một chương trình. Kỹ thuật đó, mà thường được gọi là
theo dõi dòng chảy thông tin, đã được áp dụng rộng rãi để bảo đảm phần mềm
thực hiện (ví dụ, mùi hoi tracking), bảo vệ sự riêng tư phần mềm và
cải thiện hiệu suất (ví dụ, kiểm soát đầu cơ).
Trong bài báo này, chúng tôi đề xuất một cuốn tiểu thuyết sử dụng theo dõi dòng chảy thông tin
xáo trộn những dòng điều khiển toàn bộ chương trình với chỉ
suy giảm hiệu suất khiêm tốn, để đánh bại tiêm mã độc hại,
không khuyến khích vi phạm bản quyền phần mềm và cản trở phân tích phần mềm độc hại. Cụ thể,
chúng ta khai thác hai tính năng phổ biến các thông tin theo dõi dòng chảy:
các hỗ trợ kiến trúc cho công tác tuyên truyền tự động của các thẻ và
xử lý vi phạm lạm dụng thẻ. Không giống như các hệ thống khác sử dụng
thẻ như sấm để bắt cuộc tấn công (ví dụ, theo dõi vết nhơ) hoặc đầu cơ
thất bại, chúng tôi sử dụng các thẻ như các vị từ dòng nhạy cảm để ẩn bình thường
chuyển dòng điều khiển: các thẻ được sử dụng như là các vị từ để kiểm soát
chuyển lưu lượng đến các vi phạm xử lý, nơi kiểm soát dòng chảy thực tế
chuyển nhượng xảy ra.
Chúng tôi đã thực hiện một mẫu thử nghiệm làm việc dựa trên Itanium
bộ vi xử lý, bằng cách tận dụng sự hỗ trợ phần cứng để kiểm soát đầu cơ.
Kết quả thử nghiệm cho thấy Bosh có thể xáo trộn những
dòng điều khiển toàn bộ chỉ với một bình 26,7% (dao động từ 4%
đến 59%) hất trên SPECINT2006. Sự gia tăng kích thước mã và
thời gian biên dịch cũng rất khiêm tốn.
Thể loại và Descriptors Subject
K.6.5 [Quản lý của máy tính và Hệ thống thông tin]:
An ninh và Bảo vệ truy cập trái phép,
điều khoản chung
an
* Nghiên cứu này được tài trợ bởi Chương trình Quốc gia Trung Quốc 973 theo quỹ hỗ trợ
đánh số 2005CB321905, Quỹ Khoa học Quốc gia của Trung Quốc
dưới cấp số 90.818.015 và một khoản tài trợ nghiên cứu từ Intel.
Giấy phép làm bản sao kỹ thuật số hoặc khó khăn của tất cả hoặc một phần của tác phẩm này với
mục đích cá nhân hoặc lớp học được cấp mà không cần lệ phí cung cấp các bản sao đều
không được thực hiện hoặc phân phối để lợi nhuận hoặc lợi thế thương mại và các bản sao
chịu thông báo này và trích dẫn đầy đủ trên trang đầu tiên. Để sao chép nếu không, để
tái xuất, đăng bài trên các máy chủ hoặc phân phối lại các danh sách, yêu cầu cụ thể trước khi
cho phép và / hoặc lệ phí.
MICRO'09, ngày 12-ngày 16 Tháng Mười Hai, 2009, New York, NY, USA.
Copyright 2009 ACM 978- 1-60558-798-1 / 09/12 ... $ 10,00.
Keywords
Flow Control Obfuscation, luồng thông tin theo dõi, Opaque
Predicate, kiểm soát đầu cơ
1. GIỚI THIỆU
kỹ thuật ngược có ứng dụng tốt như phục hồi
các thuật toán có giá trị từ phần mềm kế thừa, phát hiện các giao thức
và các dạng file [8] cho các hệ thống phát hiện xâm nhập. Tuy nhiên, nó
cũng có nhiều nhược điểm. Ví dụ, các hacker phần mềm thường
sử dụng các công cụ kỹ thuật đảo ngược để khám phá các lỗ hổng phần mềm
và tiêm mã độc hại, đặc biệt cho các phần mềm độc quyền.
Ví dụ, sâu CodeRed [30], đã được phát hành sau khi "reverseengineering
mã nhị phân" [17] của Microsoft IIS máy chủ. Trong khi đó,
vi phạm bản quyền phần mềm, kích hoạt bằng kỹ thuật đảo ngược, là một nghiêm trọng
đe dọa đến ngành công nghiệp phần mềm.
Chương trình obfuscation [6, 28, 18, ​​24] là một công cụ bảo vệ phần mềm
để giảm thiểu các vấn đề an ninh và vi phạm bản quyền phần mềm lớn lên bằng
kỹ thuật đảo ngược. Nó hoạt động bằng cách chuyển đổi một chương trình thành một
đối tác có chức năng tương đương, mà tuy nhiên đặt ra một đáng kể
rào cản để phát hiện ra những ngữ nghĩa cao cấp và cấu trúc
của chương trình.
Mặc dù phân tích năng động hầu như có thể tiết lộ sự thực hiện thực
dấu vết của bất kỳ chương trình làm rắc rối, đó là thường khó khăn để thực
hiện trong thực tế do thời gian và không gian cần thiết. Bộ vi xử lý hiện đại
thực hiện hàng tỷ lệnh mỗi giây, trong đó yêu cầu
số lượng thực tế của nguồn để thu thập dấu vết và áp dụng truyền thống
các kỹ thuật phân tích, trong khi quyết định khi nào và bắt đầu từ đâu
thu thập dấu vết cũng là khó khăn về chương trình làm rắc rối. Cuối cùng,
phân tích năng động có vấn đề bảo hiểm ở chỗ nó có thể
yêu cầu trường hợp thử nghiệm đủ để lộ nhiều lỗi và lỗ hổng,
mà thường ẩn trong đường dẫn chương trình hiếm. Điều này sẽ thêm
vào các quá trình đã tốn nhiều thời gian và tốn kém. Vì vậy, có
những lợi ích nghiên cứu đáng kể trong việc cung cấp chương trình obfuscation
kỹ thuật, để buộc các đối thủ để chuyển sang phân tích năng động
kỹ thuật.
Obfuscating trước cách tiếp cận chủ yếu sử dụng biến đổi chương trình
dựa trên predicates1 đục
[6] để xáo trộn sự kiểm soát
chuyển dòng chảy, và sau đó chèn mã không có thật trong đường dẫn untaken xáo trộn
dòng chảy dữ liệu. Biến đổi chương trình điển hình bao gồm kiểm soát
dòng chảy phẳng [28], chức năng con trỏ [22], chức năng chi nhánh [18],
dựa trên thực tế rằng phân tích bí danh interprocedural và con trỏ
phân tích là NP-hard [6, 28, 22]. Tuy nhiên, các phương pháp này thường
đi kèm với suy giảm hiệu suất đáng chú ý nếu áp dụng trên
mức độ toàn bộ chương trình. Ví dụ, các phương pháp kiểm soát phẳng
[28] có thể phải chịu trên không hiệu quả hơn 5X nếu
1A vị là đục nếu giá trị được biết đến bởi một obfuscator, nhưng
khó có thể suy ra bởi một deobfuscator.