Intel CET.

Intel CET (Control-flow Enforcement Technology) ist eine CPU-Funktion, die einen Hardware-Shadow-Stack mit Indirect Branch Tracking (IBT) kombiniert, um ROP-, JOP- und COP-Exploits zu stoppen. Es gehört zur Kategorie Anwendungssicherheit der Cybersicherheit.

Intel CET (Control-flow Enforcement Technology) ist eine CPU-Funktion, die einen Hardware-Shadow-Stack mit Indirect Branch Tracking (IBT) kombiniert, um ROP-, JOP- und COP-Exploits zu stoppen.

Intel CET wurde mit Tiger Lake (11. Generation Core) und der 11. Xeon-Generation eingefuehrt und kombiniert zwei Schutzmechanismen. Der Shadow Stack legt Rueckkehradressen in einer von der CPU geschuetzten Seite ab, die Userspace-Code nicht direkt schreiben darf; eine Abweichung beim RET loest eine #CP-Exception aus. Indirect Branch Tracking (IBT) verlangt, dass jedes legale Ziel eines indirekten Branches mit einer ENDBR-Instruktion beginnt; Spruenge in die Mitte einer Funktion oder eines Gadgets sind damit unmoeglich. Betriebssysteme aktivieren Prozesse via PROC_CET_* oder SetProcessMitigationPolicy; Toolchains setzen ENDBR via -fcf-protection=full. CET schlaegt klassisches ROP/JOP zu Hardware-Kosten und ergaenzt ASLR, DEP, Stack Canaries und CFI.

Schutzmaßnahmen gegen Intel CET kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: CET, Indirect Branch Tracking, IBT.