研究人員發現可擊破M1晶片最後防線、執行程式碼的PACMAN漏洞

去年蘋果推出的自製晶片M1效能及能源效率震驚業界，並帶動相關Mac電腦的熱銷。不過一旦大受歡迎，也可能成為駭客眼中的新目標。研究人員就發現到M1一項可讓攻擊者執行程式碼的漏洞。不過蘋果回應表示，本漏洞對用戶的安全風險並不高。

麻省理工學院電腦科學及人工智慧實驗室（Computer Science and Artificial Intelligence Laboratory，CSAIL）揭露一項新攻擊手法，宣稱可突破M1及其他晶片中pointer驗證（pointer authentication）而不留下痕跡，研究人員稱為PACMAN。

Pointer是儲存記憶體位址的變項，透過修改pointer可讓攻擊者取得晶片記憶體內敏感資訊及執行程式碼，而Pointer驗證程式碼（Pointer authentication code，PAC）是負責檢查並確保pointer不被惡意變更的pointer的簽章技術。當Pointer驗證啟動後，攻擊者必須知道PAC的值，否則程式就會當掉，連一般的暴力破解法也行不通。PAC於2017年首先實作於Arm晶片，也用於蘋果的M1、M1 Pro及M1 Max晶片中。

研究團隊的PACMAN攻擊法是利用現代晶片的推測執行（speculative execution），讓他們可從限定一組可能的變數選項中逐個測試，並且不引發程式當掉。由於PAC可能的參數值數量有限，因此MIT團隊現可以全部測試一遍而找到正確的參數值。PACMAN手法讓研究團隊在2.94分鐘內測試完所有PAC值，破解16-bit PAC。他們並且成功在另一個房間實作pointer驗證的Mac電腦上測試這項攻擊。

但研究人員表示，不只是搭載M1晶片的系統， PACMAN攻擊可在所有使用pointer驗證的ARM系統上執行。

研究主持人，MIT電機及資訊系學生Joseph Ravichandran指出，其研究嘗試結合軟、硬體手法，先破解硬體層防護，再運用軟體漏洞執行指令，因而PACMAN手法攻擊必須仰賴現有軟體漏洞才能成功。

但是反過來說，因為Pointer驗證保護的對象是晶片安全技術，屬於安全的最後一道防線，因此當破解Pointer驗證後，可為原本的軟體漏洞變得更嚴重，系統的整體攻擊表面也大為增加。研究團隊表示，這也是PACMAN手法對未來CPU設計的啟示。

不過蘋果對媒體表示，根據公司內部分析及研究人員提供的詳細資訊，蘋果判斷這項漏洞對用戶沒有立即風險，也不會足以繞過作業系統本身提供的安全防護。