🧐

Is Your Firmware Real or Re-Hosted?

Created

2022/04/26 17:43

Is Your Firmware Real or Re-Hosted?

A case study in re-hosting VxWorks control system firmware

0. Abstract

펌웨어 리호스팅은 취약점 분석에 있어서 점점 더 필수적으로 여겨지고 있습니다. 본 논문은 HALucinator를 확장하여 VxWorks RTOS를 사용하는 시스템에 적용하는 방법에 대해서 설명합니다. 구체적으로 연구팀은 Schneider Electric SCADAPack 350, Schneider Electric Modicon 340, 그리고 Hughes 9201 BGAN이 구동 및 리호스팅을 하는데 필요한 기능을 가진 리호스팅 support layer(정의 및 구현)을 설명합니다. 또한 본 연구팀은 이를 기반으로 3개의 실제 장치에 대해 case-study를 진행하였습니다.

1. Background Information

Vocabulary

Firmware Re-Hosting

원래 의도되었던 하드웨어가 아닌 플랫폼에서 펌웨어를 실행하는 것

Emulation vs. Re-Hosting

통상적으로 emulation과 re-hosting은 서로 비슷한 개념을 가지고 있기 때문에, 보통 혼용해서 사용합니다. 본 논문에서는 시스템을 에뮬레이팅하는 것을 펌웨어를 리호스팅 하는 것과 동일하게 간주합니다. 즉, 특정 목적을 위해 시스템을 에뮬레이팅하는 것이 목표이며, 이를 위해 펌웨어 리호스팅을 수단으로 사용하는 것입니다.

이렇게 정의를 한 이유는 리호스팅 하는 과정에서 판단의 근거가 될 수 있기 때문입니다. 예를 들어 리호스팅을 할 때 전원 관리에 대해 높은 구현도를 제공해야 하는지에 대해서 고민해봅시다. 전원 관리를 위해서 테스트 하는 것이 목적이라면 필요하겠지만, 주요한 부분이 아니라면 리호스팅에 고려할 필요가 없기 때문입니다.

Re-hosting Support Layer(RSL)

리호스팅을 위해 대체되는 펌웨어의 기능입니다. HALucinator와 본 논문의 맥락에서, Re-hosting Support Layer는 HALucinator가 펌웨어를 리호스팅할 수 있도록 하는 핸들러와 모델의 집합입니다.

VxWorks vs. Device Code

RSL을 개발할 때, 대체되는 기능이 어떤 역할을 하는지, 어떤 출처를 가지고 있는지를 구별하는 것은 유용할 수 있습니다. VxWorks 자체의 기능을 대체할 경우 리호스팅 지원 계층을 광범위하게 적용할 수 있습니다. 반면에 Device Code를 대체할 경우 소수의 장치에서만 지원할 수 있는 반면에 에뮬레이션된 시스템 자체의 정확도는 높일 수 있습니다. 본 논문에서는 VxWorks의 코드 부분을 VxWorks 코드로, 나머지 부분은 모두 Device Code로 간주하였습니다.

Emulation Utility Scale

에뮬레이팅이 된 시스템의 유용성을 평가하기 위해 이에 대한 척도를 생성하였습니다. 각 레벨의 수준은 리호스팅의 이유에 따라서 달라집니다. 해당 척도는 자율 주행의 판단 척도에서 영향을 받았으며 내용은 Figure 1과 같습니다.

Figure 1과 같이, 본 scale은 총 6개의 단계로 나누어져 있습니다. 각각의 내용은 다음과 같습니다.

•

Level 0: 에뮬레이터에서 적어도 하나의 명령이 실행됨 (ISA가 올바르게 식별되며, 펌웨어가 올바른 주소로 로드되었음). 그러나 정상적인 실행은 되지 않을 수 있음

•

Level 1: 올바른 entry point에서 실행이 되며 시스템 initialization이 올바르게 수행됨. 단, 하드웨어 요구 사항이 누락되어 초기화가 제대로 이루어지지 않을 수 있음

•

Level 2: 적어도 하나 이상의 양방향 인터페이스가 작동됨.(ex. 파일 읽기/쓰기, 네트워킹, 직렬 포트, interactive shell 등) 

•

Level 3: 파일 시스템, 작업 스케줄링, 네트워킹 등 핵심적인 OS 기능이 작동.

•

Level 4: 적어도 하나의 장치별 어플리케이션이 정상적으로 작동함.(물리적 시스템과 유사하게 동작) 

•

Level 5: 모든 OS의 기능과 장치별 어플리케이션이 작동하는 경우. 이 경우 black-box 관점에서는 실제 시스템을 구동하는 것과 차이가 없어야 함

본 연구에서는 각 scale 단계에서 다음 단계로 이동하기 위해 필요한 인터페이스 및 소프트웨어 계층에 초점을 맞추고, 각 에뮬레이션된 시스템의 유용성을 최대한 끌어올리는 방식으로 연구를 진행하였습니다.

HALucinator

HALucinator 부분 다시 정리 필요

HALucinator는 베어 메탈 펌웨어를 위한 HLE(High Level Emulation)를 수행하는 프레임워크를 제공합니다. 이는 펌웨어 추상화를 통해 낮은 수준의 하드웨어 작업을 높은 수준의 API로 추상화하여 개발을 단순화합니다. 해당 논문에 대한 정리는 이미 많이 되어있기 때문에 본 논문에서 강조한 부분만 정리하였습니다. (참고: )

HALucinator는 코드 재사용을 극대화하기 위해 핸들러, 주변 모델(peripheral models), 그리고 외부 장치를 사용하였습니다. 핸들러를 통해서는 에뮬레이터의 상태(레지스터 및 메모리)가 직접적으로 상호작용하여 시스템의 관련 데이터를 읽고 쓰기 때문에 핸들러를 통해 펌웨어의 API와 주변장치를 매핑할 수 있게 됩니다. 주변 모델의 경우 다양한 장치들로부터 입출력을 하기 위해 HALucinator의 IO server를 활용합니다. 이 작업에서 우리는 펌웨어 클래스를 Re-hosting Support Layer(RSL)로 변환하는 데 필요한 핸들러 및 모델 세트를 참조합니다.

본 논문에서는 추가적으로 VxWorks에 필요한 Re-hosting Support Layer를 개발하여 VxWorks의 펌웨어도 리호스팅이 가능하게 하였습니다.

VxWorks

VxWorks는 VRTX를 대체할 자체 커널을 개발하는 것 부터 시작하여, RTOS로 발전하였습니다. VxWorks는 현재 32비트 및 64비트 ARM, Inter 및 Power 아키텍처를 지원합니다. VxWorks의 주요 특징 중 하나는 OS 커널이 응용 프로그램, 보드 지원 패키지, 미들웨어 및 기타 패키지와 분리되어 있다는 것입니다. 따라서 애플리케이션을 변경할 필요 없이 OS 및 구성 요소를 업데이트할 수 있고, 이러한 추상화는 HLE를 사용하여 펌웨어를 재호스팅하는 데 도움이 됩니다.

본 연구에서는 VxWorks5.5와 6.4 Firmware를 사용하였고, 이에 대한 layer를 조사하였습니다. 이에 대한 도식은 Figure 2와 같습니다.

2. 논문 내용

VxWorks Re-hosting Support Layer

가장 먼저 연구팀이 정한 것은 RSL(Re-hosting Support Layer)을 선정하는 것이었습니다. 연구팀은 리호스팅에 있어 필요한 요소들에 대해서 조사하고, 그 뒤에 각 요소를 추가하는 방식으로 구현하였습니다. 이 방법으로 연구팀은 utility scale을 3단계까지 끌어올렸습니다. 리호스팅을 통해 멀티쓰레드 실행, interrupt triggering, serial communication, DOS 파일시스템 작동, 이더넷 통신을 할 수 있습니다.

Serial Port in VxWorks

HALucinator에서 추가된 내용

•

ARM 기기 전용의 IRQ 핸들러

•

로깅 기능 추가

•

몇몇 프로세서 추가

•

memory allocation 

Firmware Analysis

HQ Tracer

•

Halucinator와 QEMU에서 찾은 execution trace를 Ghidra에서 보여주는 기능이 있음

•

이를 통해 더 수월한 분석이 가능

3. Conclusion

본 연구팀은 추가적으로 RSL을 구축하면서 SCADAPack 350, Modicon 340 그리고 Hughes 9201 BGAN 모델에 대한 리호스팅을 성공하였습니다. 이를 통해 VxWorks RTOS를 사용하는 펌웨어들의 리호스팅 과정을 단순화하였습니다. 리호스팅 이후로는 취약점 분석 및 기타 시스템 분석에 사용될 수 있습니다. 다른 연구팀들도 HALucinator 핸들러와 기술을 사용하여 리호스팅의 범위를 더 넓혀나갈 수 있을 것이다.

Reference

논문: https://www.ndss-symposium.org/wp-content/uploads/bar2021_23006_paper.pdf

발표 영상: https://www.youtube.com/watch?v=3R7GEt7dTvk