Apple представила систему Memory Integrity Enforcement (MIE) — комплексную систему безопасности, разработанную для борьбы с изощрёнными атаками шпионского ПО

Apple представила систему Memory Integrity Enforcement (MIE) — комплексную систему безопасности, разработанную для борьбы с изощрёнными атаками шпионского ПО, нацеленными на отдельных пользователей. Эта технология дебютирует во вторник вместе с iPhone 17 и iPhone Air, что, по заявлению компании, является самым масштабным достижением в области безопасности памяти в потребительских операционных системах.

Новая система защиты появилась в то время, когда наёмные шпионские инструменты, такие как Pegasus от NSO Group, продолжают атаковать журналистов, активистов и государственных чиновников через уязвимости, связанные с повреждением памяти. По данным Apple, iPhone 17 и iPhone Air — первые потребительские устройства, оснащённые всесторонней, постоянно активной системой защиты памяти, охватывающей ядро и более 70 пользовательских процессов.

Пять лет инженерной борьбы с атаками, поддерживаемыми государством

Усиление целостности памяти (Memory Integrity Enforcement) является результатом пятилетнего сотрудничества аппаратных и программных команд Apple, сосредоточенного специально на противодействии государственному шпионажу, а не обычному потребительскому вредоносному ПО. Компания отмечает в своем блоге по безопасности, что «никогда не было успешной массовой атаки вредоносного ПО на iPhone», при этом атаки на уровне системы iOS ограничиваются дорогим наемным шпионским ПО.

Созданный на новых чипах Apple A19 и A19 Pro, MIE сочетает в себе защищенные распределители памяти с расширенным механизмом тегирования памяти (Enhanced Memory Tagging Extension, EMTE), улучшенной версией спецификации ARM Memory Tagging Extension. EMTE присваивает секретные теги выделяемым областям памяти, а аппаратная часть проверяет эти теги при каждом обращении к памяти. Несовпадающие теги немедленно приводят к аварийному завершению процесса, блокируя переполнение буфера и эксплойты типа use-after-free, которые лежат в основе продвинутых шпионских программ.

«Основываясь на наших оценках, в которых Усиление целостности памяти противостояло исключительно сложным атакам наемного шпионского ПО за последние три года, мы считаем, что MIE значительно повысит стоимость и сложность разработки и поддержки эксплойтов», — заявили в Apple во вторник.

Тестирование в реальных условиях против атак типа Pegasus

Оборонительная исследовательская команда Apple провела пять лет, тестируя MIE на реальных цепочках эксплойтов, использовавшихся в дикой природе, включая те, что похожи на шпионское ПО Pegasus от NSO Group. Внутренняя команда по тестированию Apple обнаружила, что ни одна из сложных атакующих цепочек не могла быть реконструирована для обхода защиты MIE.

Исследователь по безопасности Патрик Уордл из DoubleYou рассказал CyberScoop, что интегрированный подход Apple представляет собой уникальное преимущество. «Apple глубоко понимает эту область проблем, и, поскольку они контролируют как аппаратное обеспечение (Apple Silicon), так и программное обеспечение (iOS), у них есть уникальная возможность спроектировать плотно интегрированный и очень эффективный механизм безопасности», — сказал Уордл.

Это совпадает с ростом активности шпионского ПО. В июле 2024 года Apple предупредила пользователей в 98 странах о возможных атаках с использованием наемного шпионского ПО, специально упомянув Pegasus в своих уведомлениях о угрозах.

Первая в отрасли круглосуточная защита

В отличие от опционального расширения Memory Tagging Extension от Google на устройствах Pixel или функций целостности памяти в Windows 11 от Microsoft, реализация Apple работает постоянно и включена по умолчанию. Система защищает от уязвимостей спекулятивного исполнения, включая Spectre Variant 1, которую, по заявлению Apple, она устраняет с «практически нулевой нагрузкой на процессор».

Сторонние приложения могут воспользоваться защитой MIE через функцию Enhanced Security в Xcode, что позволяет социальным сетям и мессенджерам — часто используемым точкам входа для целевых атак — получить преимущества аппаратной безопасности памяти.

Наталия Крапива из Access Now положительно оценила это нововведение, но отметила его ограничения для уязвимых сообществ. «Для наших сообществ это зачастую независимые, некоммерческие медиа. Очень сложно позволить себе новые устройства, особенно устройства Apple», — сказала она изданию CyberScoop, предложив Apple рассмотреть программы для предоставления доступа к безопасности пользователям с устаревшим оборудованием, находящимся в группе повышенного риска.

iPhone 17 и iPhone Air будут доступны для предзаказа с 12 сентября, а поступят в продажу 19 сентября.