Google Developers Japan

• 境界サニタイザー: 攻撃者がスペースに許容量以上のデータを詰め込もうとした場合、コードにバグがあると、データがあふれて他のデータが破損したり、悪意のあるコードが実行されたりします。これがバッファ オーバーフローです。境界サニタイザーは、特定の方法でメモリにアクセスする箇所にチェックを自動追加し、コードが指定された領域以外のメモリにアクセスしないようにすることで、メモリの破損を防ぎます。
• 整数オーバーフロー サニタイザー: 数値は重要です。大きすぎると「オーバーフロー」が発生し、小さい値として誤解釈される可能性があります。逆も発生することがあります。数値が負の方向にオーバーフローすると、大きな値として誤解釈される可能性があります。攻撃者がこういったオーバーフローを悪用すると、予期しない動作が引き起こされる可能性があります。整数オーバーフロー サニタイザーは、そのような演算が行われている箇所にチェックを追加し、この種の脆弱性によるメモリ破損のリスクを排除します。
• スタック カナリア: スタック カナリアは、コードが確実に想定される順序で実行されるように、あらかじめ仕掛けを施しておく仕組みです。ハッカーがスタックの脆弱性を悪用し、カナリアに気付かずに実行フローを変更しようとすると、カナリアが「作動」するため、システムは攻撃された可能性があることを検知できます。
• 制御フローの整合性（CFI）: CFI もスタック カナリアと同じように、コードが限定されたパスのみに従って実行されることを保証します。攻撃者が許可された実行パスから逸脱させようとしても、CFI によってモデムが再起動されるので、許可されていない実行パスに入ることはありません。
• スタック変数の自動初期化: C/C++ では、デベロッパーがメモリを使う宣言を行っても、通常は初期化されません。割り当てられた領域を正しく設定するのは、デベロッパーの役割であると想定されているからです。これが正しく処理されないと、値が初期化されないことによって機密データが漏洩したり、攻撃者に操作されてコードが実行されたりする可能性があります。Pixel スマートフォンでは、スタック変数が自動的にゼロに初期化されるので、スタックデータの脆弱性を防ぐことができます。

また、テストプロセスでは、アドレス サニタイザーなどの多くのバグ検出ツールも活用しています。これにより、ソフトウェアのバグを特定し、デバイスをユーザーに出荷する前にパッチを適用することができます。

Pixel のメリット: 保護を組み合わせて最大限のセキュリティを実現する

セキュリティ強化は難しく、この作業に決して終わりはありません。しかし、以上のようなセキュリティ対策を組み合わせることで、Pixel 9 のベースバンド攻撃に対する耐性は大幅に向上しています。

Pixel の積極的なセキュリティ アプローチは、ソフトウェア スタック全体にわたってユーザーを保護するという取り組みを体現したものです。リモート攻撃に対するセルラー ベースバンドの防御力強化は、時代の先を行く Pixel のセキュリティ対策の一例に過ぎません。

セルラー ベースバンドの防御力強化作業に参加してくれた同僚に感謝します。Dominik Maier、Shawn Yang、Sami Tolvanen、Pirama Arumuga Nainar、Stephen Hines、Kevin Deus、Xuan Xing、Eugene Rodionov、Stephan Somogyi、Wes Johnson、Suraj Harjani、Morgan Shen、Valery Wu、Clint Chen、Cheng-Yi He、Estefany Torres、Hungyen Weng、Jerry Hung、Sherif Hanna

Posted by Eiji Kitamura - Developer Relations Team