La protection Intel CET - Control-Flow Enforcement Technology - sera d'abord disponible sur les processeurs mobiles d'Intel à microarchitecture Tiger Lake gravés en 10 nm+ et prenant la suite de Ice Lake. Le but annoncé est de proposer une protection au niveau du processeur contre les attaques par malware parmi les plus courantes.
Il est plus spécifiquement fait référence à une protection contre " l'utilisation abusive de code légitime " par des attaques dites de détournement du flot de contrôle - l'ordre d'exécution des opérations dans le CPU - et pour lesquelles il s'agira de complexifier l'exploitation de vulnérabilités.
Ces techniques d'exploitation portent de noms comme JOP, COP et ROP pour Jump-oriented programming, Call-oriented programming et Return-oriented programming. Cette dernière technique s'appuie sur la pile des appels pour pointer vers une fonction d'une bibliothèque logicielle à l'adresse connue et obtenir un accès indirect à une zone exécutable.
Afin de garantir l'intégrité du flot de contrôle lors de l'exécution d'un programme et éviter qu'un malware le détourne et insère du code nuisible, la technologie d'Intel repose sur un suivi indirect des branches (contre les attaques JOP / COP) pour " aider à empêcher les attaquants de sauter (ndlr : branchement) à des adresses arbitraires " et une pile fantôme (contre les attaques ROP).
La pile fantôme (Shadow Stack) est une deuxième pile uniquement pour des opérations de transfert du flot de contrôle dans une zone mémoire sécurisée du CPU. Elle est protégée en écriture et seulement manipulable par le biais de deux instructions.
Intel avait déjà publié les spécifications de sa technologie de protection en 2016. À l'avenir, Intel CET sera également disponible sur les plateformes desktop et serveur. Le support a été ajouté par Microsoft dans le cadre d'une fonctionnalité optionnelle pour Windows 10 (Windows 10 Insider Preview) dénommée Hardware-enforced Stack Protection.
