Cómo el canario de pila (stack canaries) mejora la seguridad y mitiga las amenazas de desbordamiento de memoria

El concepto de los canarios de pila (stack canary) encuentra su origen en una práctica histórica: el uso de canarios en las minas como sistemas de alerta temprana. Los mineros llevaban canarios vivos a las profundidades de las minas porque estas aves eran extremadamente sensibles a la presencia de gases tóxicos como el monóxido de carbono. Si el canario dejaba de cantar o mostraba signos de malestar, los mineros sabían que debían evacuar de inmediato, ya que las condiciones eran peligrosas. 

En la industria de la ciberseguridad, este concepto ha sido adoptado metafóricamente como una técnica para detectar alteraciones maliciosas en la memoria del sistema. Los canarios de pila, al igual que sus homónimos emplumados, actúan como señales de advertencia en los programas. Cuando un atacante intenta explotar una vulnerabilidad de corrupción de memoria, los canarios ‘avisan’, alertando al sistema de que algo ha ido mal.

El concepto de canario de pila apareció por primera vez en la década de 1990 como una solución a los ataques de desbordamiento de búfer, que eran extremadamente comunes en sistemas de esa época. El término y la técnica están asociados con un sistema llamado StackGuard, introducido por Crispin Cowan y su equipo en 1998.

Un canario de pila es una técnica de protección de software implementada por el compilador, diseñada para proteger la pila del programa sin depender de la arquitectura del hardware. Esta técnica introduce un valor numérico único, generado de forma aleatoria o pseudoaleatoria, que se inserta en la pila entre las variables locales de una función y la dirección de retorno. Su propósito principal es servir como un indicador de alteraciones en la pila: si este valor es modificado debido a un ataque, el programa detecta la anomalía y puede detener la ejecución de forma inmediata, evitando que el atacante comprometa el flujo de control o cause daños mayores. Los compiladores modernos integran esta medida automáticamente al habilitar opciones de seguridad específicas.

Fundamentos del canario de pila

La pila es una estructura de datos en memoria utilizada por los programas para gestionar la ejecución de funciones y almacenar información temporal, como variables locales, direcciones de retorno y parámetros de funciones. Funciona siguiendo un esquema LIFO (Last In, First Out), donde los datos más recientemente añadidos son los primeros en ser eliminados al finalizar una función. En la pila, la dirección alta corresponde a la parte superior del marco de pila, donde se encuentra la dirección de retorno, que indica a dónde debe regresar el programa al finalizar la función. La dirección baja está en la parte inferior del marco y corresponde al inicio del búfer, un área reservada para almacenar datos temporales, como entradas del usuario. Durante un desbordamiento de búfer, los datos se escriben desde la dirección baja (inicio del búfer) hacia direcciones más altas en la memoria. Si el tamaño de los datos excede los límites del búfer, pueden sobrescribir variables locales y, la dirección de retorno en la dirección alta.

Proteger la dirección de retorno es crucial porque este valor determina a dónde regresa el programa después de que una función finaliza su ejecución. Si un atacante logra sobrescribir la dirección de retorno, puede redirigir el flujo de ejecución del programa hacia código malicioso, comprometiendo la seguridad del sistema. Esto puede tener graves consecuencias, como la ejecución de código arbitrario, la obtención de privilegios elevados, el robo de datos sensibles o incluso el control total del sistema.

Pila de memoria de programa vulnerable sin el mecanismo canario de pila. Fuente: propia

El canario de pila juega un papel crítico como mecanismo de defensa en la estructura de la pila, protegiendo áreas sensibles como la dirección de retorno frente a ataques de desbordamiento de búfer. En el marco de pila, el canario se coloca estratégicamente entre las variables locales y la dirección de retorno, actuando como un ‘centinela’ que detecta cualquier sobrescritura causada por un desbordamiento desde el búfer. En este esquema, antes de llegar a la dirección de retorno, el ataque inevitablemente sobrescribirá el canario. 

El programa, al finalizar la función, verifica si el valor del canario ha cambiado. Si se detecta una alteración, el programa asume que la pila ha sido corrompida y finaliza inmediatamente, evitando que el atacante tome control del flujo del programa o ejecute código arbitrario. En este caso, el programa suele abortar la ejecución y mostrar un error, como ***stack smashing detected***.

Pila de memoria de programa implementando el mecanismo canario de pila. Fuente: propia

Verificación de la protección de canario de pila

Es fundamental verificar que el canario se implementa correctamente en las funciones críticas y que su valor se valida antes de ejecutar la instrucción de retorno.

• Comprobar la presencia del canario de pila: antes de analizar posibles vulnerabilidades, es fundamental confirmar si el programa utiliza canarios de pila. Esto se puede hacer utilizando herramientas de análisis como checksec en Linux. Si aparece la indicación Canary found, el programa implementa canarios de pila.

$ checksec --file=programa

• Análisis estático: incluso cuando los canarios de pila están habilitados, pueden existir vulnerabilidades que permitan a un atacante leer el contenido de la pila, lo que representa un riesgo significativo. Si un atacante puede inspeccionar la pila, podría descubrir el valor del canario y luego sobrescribirlo con su valor original tras realizar un ataque de corrupción de memoria. Esto evitaría activar las protecciones del canario de pila, permitiendo que el ataque tenga éxito. Dos tipos comunes de vulnerabilidades que facilitan la lectura de la pila son:

  • Vulnerabilidades de formato de cadenas: estas surgen al usar funciones como printf sin validar las entradas del usuario. Por ejemplo, si un atacante controla el argumento de printf(input), puede filtrar datos almacenados en la pila, incluyendo variables sensibles como el canario.

  • Funciones inseguras sin límites: funciones como gets, strcpy o sprintf no restringen el tamaño de los datos que procesan. Esto puede llevar a un desbordamiento de búfer que permita al atacante explorar o manipular áreas de memoria de la pila, comprometiendo la seguridad del programa.

• Análisis dinámico: el análisis en tiempo de ejecución es crucial para evaluar la seguridad de un programa. Utilizando herramientas como gdb o radare2, se puede inspeccionar la pila en busca de patrones que revelen vulnerabilidades. Por ejemplo, al detener la ejecución de una función vulnerable con un punto de interrupción y revisar los valores en la pila, es posible localizar el canario y determinar si es susceptible de ser leído o sobrescrito. Busca valores en la pila que terminan en 00 y parecen aleatorios. Esto puede indicar la presencia del canario. 

• Comprobar la resistencia frente a la fuerza bruta: en sistemas de 32 bits, el espacio de direcciones es significativamente más pequeño en comparación con los sistemas de 64 bits. Esto implica que el número de valores posibles para el canario de pila está limitado, lo que permite a los evaluadores intentar adivinar su valor mediante técnicas de fuerza bruta. Esta prueba consiste en ejecutar el programa repetidamente, probando diferentes valores de canario hasta que el programa no detecte una modificación y continúe su ejecución, indicando que el valor correcto ha sido encontrado.

Buenas prácticas de canario de pila 

Aunque los canarios de pila son efectivos, requieren configuraciones adecuadas y buenas prácticas adicionales para maximizar su seguridad frente a ataques avanzados. A continuación, se presentan medidas clave:

• Habilitar la protección en el compilador: el primer paso para implementar canarios de pila en un programa es asegurarte de habilitar las opciones específicas del compilador que introducen esta medida de seguridad. Dependiendo del compilador utilizado, existen diferentes configuraciones y niveles de protección que puedes aplicar. A continuación, se describen las opciones disponibles en los compiladores más comunes:

  • En GCC o Clang se pueden añadir las opciones deseadas durante la compilación. Por ejemplo:

  • gcc <opcion> -o programa programa.c

  • fstack-protector: Es el nivel básico de protección y se utiliza para minimizar el impacto en el rendimiento del programa. Esta opción habilita la protección para funciones que cumplen ciertos criterios, como aquellas que contienen búferes grandes asignados en la pila y variables locales que pueden ser manipuladas mediante operaciones inseguras, como desbordamientos. 
  • fstack-protector-strong: Amplía la protección a más funciones, incluidas aquellas con variables locales críticas como punteros o referencias, incluso si no están directamente relacionadas con búferes.
  • fstack-protector-all: Aplica la protección a todas las funciones del programa, sin excepción. Este nivel es ideal para entornos críticos donde la seguridad tiene prioridad sobre el rendimiento.

Las opciones avanzadas pueden tener un impacto en el rendimiento del programa, ya que añaden verificaciones adicionales en tiempo de ejecución. Sin embargo, en aplicaciones críticas donde la seguridad es prioritaria, estas opciones son altamente recomendables.

• En Visual Studio (MSVC) se habilita la protección contra desbordamientos de búfer utilizando la opción /GS. Esta opción introduce canarios de pila en funciones que el compilador detecta como potencialmente vulnerables.  Es importante comprobar que la opción /GS esté habilitada en la configuración del proyecto: Ve a Project Properties > C/C++ > Code Generation > Buffer Security Check, y selecciona "Yes (/GS)".  Alternativamente, se puede agregar /GS directamente a las opciones del compilador desde la línea de comandos: 

cl /GS programa.c

• Mejorar la aleatorización del canario: la aleatorización adecuada evita que los canarios sean predecibles, reduciendo el riesgo de explotación por parte de atacantes.

  • Generación aleatoria por proceso: se recomienda que el canario sea único para cada ejecución del programa, eliminando valores repetidos que podrían facilitar ataques basados en patrones. Es importante utilizar fuentes de aleatoriedad criptográficamente seguras, como getrandom(), que forma parte de la librería del sistema de Linux (glibc) y se utiliza para acceder a números aleatorios directamente desde el núcleo del sistema operativo. Su funcionalidad está disponible a partir de la glibc 2.25.

  • Evitar valores constantes: los canarios estáticos entre ejecuciones deben evitarse, ya que representan un punto débil al permitir ataques de fuerza bruta o predicción de valores. Cada proceso debería tener un canario distinto y aleatorio.

• Implementar penalizaciones contra fuerza bruta: las contramedidas pueden dificultar significativamente los intentos de adivinar el valor del canario mediante múltiples ejecuciones del programa.

  • Contramedidas activas: se pueden introducir bloqueos temporales o tiempos de espera progresivos tras varios intentos fallidos. Este enfoque incrementa la dificultad y el tiempo necesario para realizar un ataque de fuerza bruta.

  • Notificaciones y auditorías: resulta útil registrar o alertar sobre intentos fallidos repetidos para identificar patrones de comportamiento sospechosos. Esto permite una reacción rápida ante posibles intentos de explotación.

Conclusiones

Los canarios de pila son una herramienta fundamental en la protección contra ataques de desbordamiento de búfer en la pila, ofreciendo una capa de seguridad adicional al prevenir la sobrescritura de direcciones de retorno y otras estructuras críticas. Su implementación por compiladores modernos ha reducido significativamente la explotación de vulnerabilidades relacionadas con la pila, convirtiéndose en un estándar de seguridad ampliamente adoptado.

No obstante, presentan limitaciones importantes que restringen su efectividad a la protección de la integridad de la pila. No son eficaces contra desbordamientos en el heap, ya que no ofrecen protección frente a vulnerabilidades que exploten la memoria dinámica asignada fuera de la pila. Asimismo, no previenen la sobrescritura de variables locales dentro de la misma pila, ya que, si un desbordamiento afecta únicamente estas variables sin alcanzar la dirección de retorno o el canario, el ataque puede comprometer datos sensibles o causar comportamientos inesperados sin ser detectado. Por último, si un atacante logra filtrar el valor del canario, puede replicarlo para sortear las verificaciones de seguridad, evitando que el sistema detecte la manipulación de la pila.

Dado su alcance limitado, los canarios de pila deben complementarse con otras medidas de seguridad como ASLR (Address Space Layout Randomization), DEP (Data Execution Prevention), el uso de arquitecturas de computadores más robustas, como las de 64 bits, y técnicas específicas para la protección del heap y la validación de entradas. Aunque no son una solución completa, los canarios de pila siguen siendo una defensa esencial para mitigar ataques comunes basados en la pila, cuando se utilizan como parte de una estrategia de seguridad integral.