[論文レビュー] BesFS: Mechanized Proof of an Iago-Safe Filesystem for Enclaves.

Shweta Shinde, Shengyi Wang+4 more|arXiv (Cornell University)|Jul 2, 2018

Security and Verification in Computing参考文献 3被引用数 4

ひとこと要約

BesFS は、3,676 行の Coq スクリプトを用いて、システムコールの操作による OS 层の改ざんを防ぐことを証明した形式的検証済みで Iago 攻撃に安全な Intel SGX エンclave用ファイルシステム API です。最小限の TCB のオーバーヘッド（750 行未塔）で、信頼できるアプリケーションにおける安全で表現力豊かなファイル操作を可能にし、既知のバグを排除するとともに、Iago 安全性のテストオラクルとしても機能します。

ABSTRACT

New trusted computing primitives such as Intel SGX have shown the feasibility of running user-level applications in enclaves on a commodity trusted processor without trusting a large OS. However, the OS can compromise the integrity of the applications via the system call interface by tampering the return values. This class of attacks (commonly referred to as Iago attacks) have been shown to be powerful enough to execute arbitrary logic in enclave programs. To this end, we present BesFS -- a formal and provably Iago-safe API specification for the filesystem subset of the POSIX interface. We prove 118 lemmas and 2 key theorems in 3676 lines of CoQ proof scripts, which directly proves safety properties of BesFS implementation. BesFS API is expressive enough to support 17 real applications we test, and this principled approach eliminates several bugs. BesFS integrates into existing SGX-enabled applications with minimal impact to TCB (less than 750 LOC), and it can serve as concrete test oracle for other hand-coded Iago-safety checks.

研究の動機と目的

• SGX 環境におけるシステムコールの戻り値を操作することでエンクラーブの整合性を損なう Iago 攻撃の脅威に対処すること。
• 実世界のアプリケーションに適した表現力を維持しつつ、形式的に Iago 攻撃に安全であることが保証されるファイルシステム API を設計すること。
• セキュリティ特性の形式的検証を保証しつつ、信頼コードベース（TCB）を最小限に抑えること。
• 他の Iago 安全性メカニズムの検証に使用可能な、具体的なテストオラクルを提供すること。

提案手法

• Coq を用いた POSIX インターフェースのファイルシステムサブセットの形式的仕様定義により、Iago 安全性を構築段階で保証する。
• 3,676 行の Coq コードを用いて、118 個の補題と 2 つの主要定理の機械的証明を行い、安全特性を検証する。
• システムコールの戻り値に対する OS 層の操作に耐性を持ちつつ、17 つの実アプリケーションをサポートする API の設計。
• 既存の SGX アプリケーションへの統合において、TCB の拡大を最小限（750 行未塔）に抑える。
• 形式的手法を用いて、手動で記述された Iago 安全性チェックに起因する実装バグを排除する。

実験結果

リサーチクエスチョン

• RQ1 形式的検証済みのファイルシステム API を構築し、SGX エンクラーブで形式的に Iago 攻撃に安全であることを保証できるか？
• RQ2 このようなファイルシステムは、システムコールの改ざんに対するセキュリティを確保しつつ、どれほど表現力を維持できるか？
• RQ3 実用的なアプリケーションをサポートしつつ形式的検証を保証する上で、信頼コードベース（TCB）はどれほど小さくできるか？
• RQ4 形式的仕様は、他の Iago 安全性メカニズムの検証にテストオラクルとして機能できるか？

主な発見

• 著者らは、3,676 行の Coq 証明スクリプトを用いて 118 個の補題と 2 つの主要定理を形式的検証し、BesFS の強固な安全保証を確立した。
• BesFS は 17 つの実世界のアプリケーションをサポートしており、生産環境に近いシナリオにおける実用的表現力と実現可能性を示している。
• BesFS の信頼コードベースは 750 行未塔であり、SGX 環境における攻撃表面を顕著に縮小している。
• 形式的仕様により、手動で記述された Iago 安全性メカニズムに存在していた複数の既知のバグが排除された。
• BesFS は、SGX アプリケーションにおける他の Iago 安全性チェックの検証に信頼できるテストオラクルとして機能する。