[論文レビュー] bpftime: userspace eBPF Runtime for Uprobe, Syscall and Kernel-User Interactions

Yusheng Zheng, Tong Yu+4 more|arXiv (Cornell University)|Nov 14, 2023

Security and Verification in Computing被引用数 4

ひとこと要約

bpftime は、コンテキストスイッチを回避するためのバイナリリライトを用いる、高性能でユーザースペースの eBPF ランタイムであり、カーネル eBPF よりも 10 倍以上の高速化を達成する。プロンプトによる uprobe およびシステムコールフックの実装を可能にし、既存プロセスへのシームレスなランタイムインジェクションをサポートし、clang/libbpf と互換性がある。また、プロセス間通信のための共有メモリ eBPF マップを提供する。

ABSTRACT

In kernel-centric operations, the uprobe component of eBPF frequently encounters performance bottlenecks, largely attributed to the overheads borne by context switches. Transitioning eBPF operations to user space bypasses these hindrances, thereby optimizing performance. This also enhances configurability and obviates the necessity for root access or privileges for kernel eBPF, subsequently minimizing the kernel attack surface. This paper introduces bpftime, a novel user-space eBPF runtime, which leverages binary rewriting to implement uprobe and syscall hook capabilities. Through bpftime, userspace uprobes achieve a 10x speed enhancement compared to their kernel counterparts without requiring dual context switches. Additionally, this runtime facilitates the programmatic hooking of syscalls within a process, both safely and efficiently. Bpftime can be seamlessly attached to any running process, limiting the need for either a restart or manual recompilation. Our implementation also extends to interprocess eBPF Maps within shared memory, catering to summary aggregation or control plane communication requirements. Compatibility with existing eBPF toolchains such as clang and libbpf is maintained, not only simplifying the development of user-space eBPF without necessitating any modifications but also supporting CO-RE through BTF. Through bpftime, we not only enhance uprobe performance but also extend the versatility and user-friendliness of eBPF runtime in user space, paving the way for more efficient and secure kernel operations.

研究の動機と目的

• コンテキストスイッチによるオーバーヘッドが生じるカーネルベースの eBPF uprobe 実行におけるパフォーマンスボトルネックを解消する。
• eBPF 実行をユーザースペースに移行することで、カーネルの攻撃面を縮小し、root 権限の必要性を排除する。
• 再起動や再コンパイルなしに、既存プロセスに対して動的かつランタイムで eBPF プログラムをアタッチできるようにする。
• プログラム可能なシステムコールトレースと、プロセス間通信およびデータ集約のための共有メモリ eBPF マップを提供する。
• 既存の eBPF ツールチェイン（clang、libbpf）および BTF を通じた CO-RE との完全な互換性を確保し、カーネル eBPF からの変更なしの移行を可能にする。

提案手法

• LLVM の JIT/AOT コンパイルを活用し、ユーザースペースで eBPF プログラムを高性能に実行する。
• ソースコードの変更や再コンパイルなしに、実行時におけるバイナリリライトを用いてターゲットプロセスをインストルメンテーションし、uprobe およびシステムコールフックを実現する。
• 独自のバイナリリライトエンジンを用いて、関数のエントリおよびエグジットポイントに eBPF トランポリンを挿入し、効率的なユーザースペース uprobe のセマンティクスを実現する。
• プロセス間通信およびユーザースペース eBPF プログラムとカーネル eBPF プログラム間の通信を可能にするために、共有メモリ eBPF マップを導入する。
• プロセスの再起動を回避する動的アタッチメカニズムを用いて、実行中のプロセスへの eBPF プログラムのシームレスなインジェクションをサポートする。
• カーネル eBPF マップおよび BTF（BPF タイプフォーマット）との互換性を維持することで、CO-RE およびカーネル eBPF プログラムとの相互運用性を実現する。

実験結果

リサーチクエスチョン

• RQ1 コンテキストスイッチを排除することで、ユーザースペース eBPF ランタイムがカーネルベースの uprobe 実行よりも著しく低いオーバーヘッドを達成できるか？
• RQ2 カーネルの関与なしに、ユーザースペース eBPF でプログラム可能なシステムコールフックを効率的かつ安全に実装できるか？
• RQ3 再コンパイルや再起動なしに、既存プロセスに対して eBPF プログラムをランタイムでインジェクションすることが可能か？
• RQ4 ユーザースペース eBPF ランタイムが、clang や libbpf といった既存の eBPF ツールチェインとどの程度互換性を保てるか？
• RQ5 共有メモリ eBPF マップが、ユーザースペース eBPF 環境における効率的なプロセス間通信および連携を可能にするか？

主な発見

• bpftime は、コンテキストスイッチのオーバーヘッドを排除することで、カーネル eBPF よりも 10 倍以上の uprobe 実行パフォーマンス向上を達成した。
• ランタイムでプロセスの再起動や再コンパイルなしに、ユーザースペースでプログラム可能なシステムコールトレースおよび uprobe アタッチが可能である。
• bcc ツールセットの eBPF プログラム（uprobe やシステムコールトレースの例を含む）が、bpftime で変更なしに実行可能であり、完全な互換性が確認された。
• 共有メモリ eBPF マップは、プロセス間通信およびデータ集約を成功裏に実現し、コントロールプレーンの連携などのユースケースをサポートした。
• 共有マップを介したカーネル eBPF プログラムとの統合を可能にし、bpftime はカーネル eBPF プログラムからロード可能であり、ハイブリッド実行モデルを実現した。
• bpftime は、カーネルの攻撃面を縮小し、サンドボックス化されたユーザースペース環境で動作するため、カーネル eBPF よりもセキュリティポストゥアが向上した。