binary-hardening

バイナリのハードニング

目的

エージェントがバイナリセキュリティ緩和策を有効化し、検証できるように案内します。対象は、checksec による解析、コンパイラーおよびリンカーのハードニングフラグ（RELRO、PIE、スタックカナリア、FORTIFY_SOURCE、CFI）、ハードウェアシャドウスタック、そして多層防御のための seccomp-bpf システムコールフィルタリングです。

トリガー

• 「バイナリをエクスプロイトから守るには、どうハードニングすればよいですか？」
• 「バイナリにどのようなセキュリティ緩和策が適用されているか確認するには、どうすればよいですか？」
• 「checksec の出力は何を意味しますか？」
• 「RELRO、PIE、スタックカナリアを有効にするには、どうすればよいですか？」
• 「seccomp を使ってシステムコールを制限するには、どうすればよいですか？」
• 「CFI（制御フロー整合性）を有効にするには、どうすればよいですか？」

ワークフロー

1. checksec で既存のバイナリを解析する

# Install checksec
pip install checksec.py   # or: apt install checksec

# Check a binary
checksec --file=./mybinary
checksec --file=/usr/bin/ssh

# Output example
# RELRO          STACK CANARY   NX    PIE    RPATH  RUNPATH  Symbols  FORTIFY  Fortified  Fortifiable  FILE
# Full RELRO     Canary found   NX    PIE    No RPATH  No RUNPATH  No Symbols  Yes   6   10   ./mybinary

# Check all binaries in a directory
checksec --dir=/usr/bin

保護機能	良好な値	懸念事項
RELRO	Full RELRO	Partial / No RELRO
Stack Canary	Canary found	No canary
NX	NX enabled	NX disabled
PIE	PIE enabled	No PIE
FORTIFY	Yes	No

2. コンパイラーおよびリンカーのハードニングフラグ

# Full hardened build (GCC or Clang)
CFLAGS="-O2 -pipe \
  -fstack-protector-strong \
  -fstack-clash-protection \
  -fcf-protection \
  -D_FORTIFY_SOURCE=3 \
  -D_GLIBCXX_ASSERTIONS \
  -fPIE \
  -Wformat -Wformat-security -Werror=format-security"

LDFLAGS="-pie \
  -Wl,-z,relro \
  -Wl,-z,now \
  -Wl,-z,noexecstack \
  -Wl,-z,separate-code"

gcc ${CFLAGS} -o prog main.c ${LDFLAGS}

フラグのリファレンス：

フラグ	保護機能	備考
-fstack-protector-strong	スタックカナリア	-fstack-protector より強力です
-fstack-clash-protection	スタッククラッシュ	巨大なスタック割り当てを防ぎます
-fcf-protection	Intel CET（IBT+SHSTK）	x86 ハードウェア CFI（カーネルと CPU が必要です）
-D_FORTIFY_SOURCE=2	バッファーオーバーフローチェック	文字列／メモリー関数に境界チェックを追加します
-D_FORTIFY_SOURCE=3	強化された FORTIFY	GCC ≥12、Clang ≥12
-fPIE + -pie	PIE/ASLR	位置独立実行ファイル
-Wl,-z,relro	Partial RELRO	main の前に GOT を読み取り専用にします
-Wl,-z,now	Full RELRO	起動時にすべての PLT を解決し、GOT を完全に読み取り専用にします
-Wl,-z,noexecstack	NX スタック	スタックを実行不可としてマークします

3. 制御フロー整合性（CFI）

Clang の CFI は、誤った型を介した仮想関数の呼び出し（vtable CFI）と、型が一致しない関数への間接呼び出しを防ぎます。

# Clang CFI — requires LTO and visibility
clang -fsanitize=cfi -fvisibility=hidden -flto \
      -O2 -fPIE -pie main.cpp -o prog

# Specific CFI checks
clang -fsanitize=cfi-vcall          # virtual call type check
clang -fsanitize=cfi-icall          # indirect call type check
clang -fsanitize=cfi-derived-cast   # derived-to-base cast
clang -fsanitize=cfi-unrelated-cast # unrelated type cast

# Cross-DSO CFI (across shared libraries — more complex)
clang -fsanitize=cfi -fsanitize-cfi-cross-dso -flto -fPIC -shared

# Microsoft CFG (Windows equivalent)
cl /guard:cf prog.c
link /guard:cf prog.obj

4. スタックカナリアの詳細

# GCC canary options
-fno-stack-protector       # disabled
-fstack-protector          # protect functions with alloca or buffers > 8 bytes
-fstack-protector-strong   # protect functions with local arrays/addresses taken
-fstack-protector-all      # protect all functions (slowest, most complete)

# Verify canary presence
objdump -d prog | grep -A5 "__stack_chk"
readelf -s prog | grep "stack_chk"

5. FORTIFY_SOURCE

FORTIFY_SOURCE は、コンパイル時にバッファーサイズを特定できる場合、危険な libc 関数（memcpy、strcpy、sprintf）を境界チェック付きの関数でラップします。

# Level 2 (GCC/Clang default for hardened builds)
-D_FORTIFY_SOURCE=2
# Runtime check: abort() on overflow

# Level 3 (GCC ≥12, catches more cases)
-D_FORTIFY_SOURCE=3
# Adds dynamic buffer size tracking for more coverage

# Check FORTIFY coverage
objdump -d prog | grep "__.*_chk"     # fortified variants
checksec --file=prog | grep FORTIFY

6. seccomp-bpf システムコールフィルタリング

#include <seccomp.h>

void apply_seccomp_filter(void) {
    scmp_filter_ctx ctx;

    // Default: kill process on any non-allowlisted syscall
    ctx = seccomp_init(SCMP_ACT_KILL_PROCESS);

    // Allowlist needed syscalls
    seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(read), 0);
    seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 0);
    seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit_group), 0);
    seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(brk), 0);
    seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(mmap), 0);

    // Apply filter (irreversible after this point)
    seccomp_load(ctx);
    seccomp_release(ctx);
}

// Call early in main(), after all setup
int main(void) {
    // ... initialization ...
    apply_seccomp_filter();
    // ... restricted operation ...
}

# Test seccomp filter with strace
strace -e trace=all ./prog 2>&1 | grep "killed by SIGSYS"

# Profile syscalls to build allowlist
strace -c ./prog    # count all syscalls used

7. Intel CET（シャドウスタック + IBT）

# Full CET: SHSTK (shadow stack) + IBT (indirect branch tracking)
gcc -fcf-protection=full -O2 -o prog main.c

# Verify in binary
readelf -n prog | grep -E 'SHSTK|IBT'
readelf --notes prog | grep GNU_PROPERTY

# IBT landing pads in disassembly
objdump -d prog | grep endbr64

# CPU and kernel support
grep -m1 shstk /proc/cpuinfo

ハードウェアの CET サポート（SHSTK/IBT は Intel Tiger Lake 以降、シャドウスタックは対応 SKU の AMD Zen 3 以降）と、CET を有効にしてビルドされたカーネルが必要です。

8. ARM BTI および PAC（AArch64）

# Branch Target Identification + Pointer Authentication
gcc -mbranch-protection=standard -O2 -o prog main.c
# Or: -mbranch-protection=bti+pauth

readelf -n prog | grep -E 'BTI|PAC'
llvm-objdump -d prog | grep bti

機能	保護対象
BTI	マークされていないターゲットへの間接分岐
PAC	署名付き戻りアドレスおよびポインター（ARMv8.3 以降）

9. ARM メモリータグ付け（MTE）

# Userspace MTE tagging (experimental, arm64 hardware)
clang -fsanitize=memtag -g -o prog main.c

# Check MTE CPU support
grep -m1 mte /proc/cpuinfo

MTE は 16 バイト単位の粒度に 4 ビットのタグを割り当て、アクセス時のタグ不一致をハードウェアで検出します。

10. glibc シャドウスタック（2.39+）

# Recent glibc may enable shadow stack for CET when hardware supports SHSTK
ldd --version   # feature availability varies by distro glibc build

# Explicit link with shadow stack support (toolchain dependent)
gcc -fcf-protection=full -Wl,-z,shstk -o prog main.c

# Verify GNU_PROPERTY_SHSTK in output
readelf -n prog | grep SHSTK

シャドウスタックは、データスタックとは別に、戻りアドレスのコピーをハードウェアで保護して保持します。

ハードニングフラグの全リファレンスについては、references/hardening-flags.md を参照してください。

関連スキル

• 開発中の ASan/UBSan には skills/runtimes/sanitizers を使用します
• libbpf を使った seccomp-bpf プログラムの作成には skills/observability/ebpf を使用します
• Rust のメモリー安全性ハードニング手法には skills/rust/rust-security を使用します
• ELF バイナリ内の緩和策の検証には skills/binaries/elf-inspection を使用します