Insecure Compiler Optimization

A limpeza imprópria de dados confidenciais da memória pode comprometer a segurança.

Erros de otimização do compilador ocorrem quando:

1. Dados secretos são armazenados na memória.

2. Os dados secretos são limpos da memória por meio da substituição de seu conteúdo.



3. O código-fonte é compilado com o uso de um compilador de otimização, que identifica e remove a função que substitui o conteúdo como um repositório morto porque a memória não é usada posteriormente.
Exemplo 1: O código a seguir lê uma senha do usuário, utiliza-a para se conectar a um mainframe back-end e depois tenta limpar a senha da memória usando memset().

  void GetData(char *MFAddr) {
  char pwd[64];
  if (GetPasswordFromUser(pwd, sizeof(pwd))) {
   if (ConnectToMainframe(MFAddr, pwd)) {
		 // Interaction with mainframe
	 }
  }
  memset(pwd, 0, sizeof(pwd));
}

O código no exemplo comporta-se de forma correta quando executado literalmente, mas, se ele for compilado com o uso de um compilador de otimização, como o Microsoft Visual C++(R) .NET ou o GCC 3.x, a chamada para memset() será removida como um repositório morto porque o buffer pwd não é usado após a substituição de seu valor [2]. Como o buffer pwd contém um valor sensível, o aplicativo poderá ficar vulnerável a ataques se os dados permanecerem residentes na memória. Se os invasores puderem acessar a região correta da memória, eles poderão usar a senha recuperada para ganhar o controle do sistema.

É uma prática comum substituir dados sensíveis manipulados na memória, como senhas ou chaves criptográficas, a fim de impedir que os invasores descubram segredos do sistema. No entanto, com o advento de compiladores de otimização, os programas nem sempre se comportam como seu código-fonte sozinho poderia sugerir. No exemplo, o compilador interpreta a chamada para memset() como um código morto, pois a memória que está sendo gravada não é utilizada depois, apesar do fato de existir claramente uma motivação de segurança para que essa operação ocorra. O problema aqui é que muitos compiladores e, na verdade, muitas linguagens de programação, não consideram esta e outras preocupações de segurança em seus esforços para melhorar a eficiência.

Em geral, os invasores exploram esse tipo de vulnerabilidade usando um despejo de memória ou um mecanismo de tempo de execução para acessar a memória usada por um aplicativo específico e recuperar as informações secretas. Depois que um invasor tem acesso às informações secretas, é relativamente simples e direto explorar ainda mais o sistema e possivelmente comprometer outros recursos com os quais o aplicativo interage.