[ARM] MTE (Memory Tagging Extension)

MTE

일단 MTE는 메모리 자체를 '태깅'하는 기법이다. 그렇다면 태깅이라는게 정확하게 뭘까?

 

• Address Tag (Key) : 4bit로 되어있고, virtual address의 상위 비트에 저장된다! 상위 비트에 저장될 수 있는 이유는, AArch64의 TBI(Top-Byte-Ignore' 특징 때문이다
• Memory Tag (Lock) : 똑같이 4bit로 구성되어있고, memory storage에 저장된다. 물리 메모리 공간에서 16byte로 정렬된 모든 region에 링크되어있다!

 

참고) TBI가 활성화되면 virtual address의 top byte는 주소 해석에서 무시된다! 그래서 top byte를 metadata를 저장하는데 쓸 수 있는 것이다

일단 이렇게 '태깅된'메모리에 접근/저장하기 위해서는 address tag와 memory tag 둘을 비교해야한다. 그리고 만약 이 두 태그가 맞지 않는다면 예외를 발생시킨다.

 

Address Tag

일단 아래 그림에서 X0이 주소를 저장한다고 가정하자!! 이처럼 주소를 저장할 때 address tag가 있는듯 (궁금한건, 안 저장할때도 그냥 다 address로 간주하고 address tag가 있는지?)

예를 들어 LDR X1, [X0]처럼 X0이있는 데이터(즉, 주소)가 X1에 저장되듯이, X0가 주소를 저장한다고 생각해보자

[59:56]비트 부분에 tag가 저장된다

X0에서, 55번째 비트와 [47:0]부분만 실제 주소를 저장하게 되고, [59:56]부분에는 4bit짜리 태그가 저장된다.

그리고 태그에는 랜덤한 값이 들어가는 것 같다

 

Memory Tag

일단 위에서 말했듯, 16byte 메모리마다 4bit의 태그가 다 있다.

메모리 태그 스토리지는 전용 주소로 접근할 수 없다! associated data를 통해서만 접근 가능하다

참고로 이 태그들은 CPU 캐시 등에 저장될 수 있다고 한다!

 

 

그러면 이 memory tag와 address tag는 정확히 어떻게 연관이 되는걸까??

아래 그림은 MTE의 STG X0, [X0] 라는 명령어의 동작을 보여주는 그림이다.

일단 위에서 봤듯, X0에는 태그와 주소가 저장되어있다.

이때 그림에서는 X0에 저장되어있는 주소(physical address)로 접근한 후, 해당 주소의 memory 태그에 X0에 저장되어있던 address tag를 저장하고 있다.

 

 

Tag Check

일단 태그를 체크할 때, 먼저 address register(위 그림의 경우 X0)에 저장되어있는 태그와, X0의 주소로 메모리에 접근해서 주소 태그와 비교하게 된다. 그리고 만약 이 둘이 다르면 execption이 일어나게 되는 것이다.

 

참고로 아래 그림처럼 memory tag가 저장되어있는듯하다

 

Operation Mode

MTE에서 exception을 발생시키는 방법에는 두가지 방법이있다. 이거는 2가지 operation mode로 구분되게 된다.

그리고 Execption이 발생하면 SIGSEGV 시그널을 발생시키게 된다.

 

1. Precise (Synchronous) Mode

• exception이 발생했을 때, instant하게 바로 synchronous한 exception을 발생시킴
• performance overhead 존재
• SEGV_MTESERR

2. Imprecise (Asynchronous) Mode

• exception이 발생했을 때, asynchronous한 exception을 발생시킴
• instant하게 발생시키지는 않고 illegal memory access가 발생하고 좀 후에 exception발생시키는 듯
  • 정확히는 kernel mode에 들어갔을 때 exception 발생시키는 것 같다ㅇㅇ
• SEGV_MTEAERR

 

비동기/동기에 관련해서 예전에 정리한 글 -> [OS] 동기식 입출력 vs 비동기식 입출력

[OS] 동기식 입출력 vs 비동기식 입출력

 

UAF Prevention

그렇다면 이 MTE 기법이 어떻게 UAF를 prevent할 수 있는 것일까?
일단 여기서 pointer는 key, 할당한 메모리는 lock에 대응될 것이다. 

이때 memory가 free되면 memory tag는 바로 invalidate된다. 따라서 pointer의 key (address tag)는 outdated되게 되고, 해당 주소에 이후에 또 접근하게 되면 mismatch가 일어나서 UAF를 방지하게 되는 것 같다

 

Reference

https://developer.arm.com/-/media/Arm%20Developer%20Community/PDF/Arm_Memory_Tagging_Extension_Whitepaper.pdf

Where is the MTE Tag stored and checked? (arm.com)

MTE (Memory Tagging Extension): 메모리태깅 (velog.io)

Arm MTE architecture: Enhancing memory safety - Architectures and Processors blog - Arm Community blogs - Arm Community

Arm Memory Tagging Extension(MTE) - Security Update List (skill.or.kr)