KontrolleFlussIntegrität

KontrolleFlussIntegrität, oft abgekürzt als CFI, bezeichnet eine Gruppe von Sicherheitsmechanismen, die sicherstellen, dass der Ablauf eines Programms nur zu zulässigen Zieladressen führt, wie sie in einem vorher bestimmten Kontrollflussgraphen definiert sind. Ziel ist es, Code-Reuse-Angriffe wie Return-Oriented Programming (ROP) und Jump-Oriented Programming (JOP) zu erschweren, indem der Programmfluss gegen unerlaubte Sprünge abgeschottet wird.

Funktionsweise: Bei der Kompilierung wird ein Kontrollflussgraph erstellt und Codeinstrumentierung eingefügt. Jede indirekte Sprunganweisung und jede Rückgabe wird gegen die genehmigten Ziele geprüft. In vielen Implementierungen kommt zusätzlich ein Schattenstapel zum Einsatz, der Rückgabepfade validiert. Führt eine Sprunganweisung zu einem ungültigen Ziel, wird der Ausführung abgebrochen oder der Prozess beendet.

Umsetzung: Es existieren verschiedene Ansätze, darunter compilerbasierte CFI-Lösungen (beispielsweise LLVM-CFI, GCC-CFI) sowie betriebssystem- oder hardwaregestützte Ansätze (etwa Windows CFG oder hardwarebasierte Technologien wie CET). Systeme nutzen oft eine Kombination aus Graph-Whitelists, präziser Kontrollflussnotation und sicheren Stub-Funktionen, um die Ausführung zu schützen.

Herausforderungen: Der Leistungsaufwand durch Instrumentierung kann spürbar sein, und die Genauigkeit des Graphen ist entscheidend, um Fehlalarme zu vermeiden. Dynamische Code-Generierung, JIT-Compiler oder Plugins können die Implementierung erschweren. Zudem hängt die Wirksamkeit stark von der Vollständigkeit des Kontrollflussgraphen ab.

Anwendung: CFI wird in modernen Betriebssystemen, Webbrowsern und sicherheitsorientierten Anwendungen eingesetzt und gilt als wichtiger Bestandteil mehrerer Verteidigungslinien gegen Speicherangriffe, bleibt aber kein Allheilmittel gegen alle Angriffe.