[論文レビュー] CompartOS: CHERI Compartmentalization for Embedded Systems

Hesham Almatary, Michael V. Dodson+7 more|arXiv (Cornell University)|Jun 6, 2022

Security and Verification in Computing被引用数 6

ひとこと要約

CompartOS は、CHERI 機械的 Capability ハードウェアを用いた、軽量でリンク指向のソフトウェア隔離モデルを提示する。これは、ハイエンド組み込みシステムにおいて、細粒度でスケーラブルかつ決定論的な保護を可能にする。MPU に基づく IPC よりも 95% 速く保護ドメイン間遷移を実現し、TCP トランスポートのオーバーヘッドを 15% に抑え、MPU に基づくシステムの 52% に比べて大幅に低減する。また、MPU モデルが見逃す 13 個の FreeRTOS-TCP の脆弱性のうち 10 個を検出できる。

ABSTRACT

Existing high-end embedded systems face frequent security attacks. Software compartmentalization is one technique to limit the attacks' effects to the compromised compartment and not the entire system. Unfortunately, the existing state-of-the-art embedded hardware-software solutions do not work well to enforce software compartmentalization for high-end embedded systems. MPUs are not fine-grained and suffer from significant scalability limitations as they can only protect a small and fixed number of memory regions. On the other hand, MMUs suffer from non-determinism and coarse-grained protection. This paper introduces CompartOS as a lightweight linkage-based compartmentalization model for high-end, complex, mainstream embedded systems. CompartOS builds on CHERI, a capability-based hardware architecture, to meet scalability, availability, compatibility, and fine-grained security goals. Microbenchmarks show that CompartOS' protection-domain crossing is 95% faster than MPU-based IPC. We applied the CompartOS model, with low effort, to complex existing systems, including TCP servers and a safety-critical automotive demo. CompartOS not only catches 10 out of 13 FreeRTOS-TCP published vulnerabilities that MPU-based protection (e.g., uVisor) cannot catch but can also recover from them. Further, our TCP throughput evaluations show that our CompartOS prototype is 52% faster than relevant MPU-based compartmentalization models (e.g., ACES), with a 15% overhead compared to an unprotected system. This comes at an FPGA's LUTs overhead of 10.4% to support CHERI for an unprotected baseline RISC-V processor, compared to 7.6% to support MPU, while CHERI only incurs 1.3% of the registers area overhead compared to 2% for MPU.

研究の動機と目的

• 大規模で複雑かつリアルタイム性が求められる組み込みシステムにおける、スケーラブルで細粒度かつ決定論的なハードウェア・ソフトウェアセキュリティの欠如に取り組む。
• 主流の RTOS で一般的に使われる MPU ベースのソリューションの限界（粗粒度の保護とスケーラビリティの低さ）を克服する。
• ソースコードの変更や言語の移行を避けることで、既存のコードベースとの互換性を保ちながら、リアルタイムの決定論的動作を維持する。
• 自動車や航空電子機器プラットフォームなどの安全が求められるシステムのセキュリティを実現する、実用的で低オーバーヘッドなソリューションを提供する。
• CHERI を用いた隔離が、脆弱性からの部分的回復を可能にし、システムの可用性を向上させることを示す。

提案手法

• 細粒度で型安全なメモリアクセスと保護境界を強制するために、CHERI の Capability ハードウェアを活用する。
• リファクタリングや言語の変更を必要とせず、既存のソフトウェアコンポonentsをリンク指向のモデルで隔離する。
• CHERI のバウンズチェックと Capability に基づくアクセス制御を用いて、バッファオーバーフローとメモリ破壊を検出し、封じ込めることを実現する。
• 不正なコンパートメント（例：TCP/IP スタック）を隔離し、システム全体を停止させずに回復可能なカスタムフォールトハンドラを導入する。
• CHERI の Global Pointer (CGP) と Capability の検証を用いて、リアルタイムで不正なメモリアクセスを検出しブロックする。
• マイクロベンチマークと実世界のシステム（FreeRTOS-TCP や自動車デモを含む）を用いて、パフォーマンスとセキュリティを評価する。

実験結果

リサーチクエスチョン

• RQ1 MPU ベースのソリューションが失敗するような大規模で複雑な組み込みシステムにおいて、CHERI を用いた隔離が細粒度でスケーラブルかつ決定論的な保護を提供できるか？
• RQ2 CompartOS は、自動的な脆弱性検出と回復を可能にしつつ、ソースコードの互換性とリアルタイムの決定論的動作をどの程度維持できるか？
• RQ3 攻撃条件下でのパフォーマンス、セキュリティカバレッジ、システム可用性の観点から、CompartOS は MPU ベースのモデルと比べてどの程度優れているか？
• RQ4 CompartOS は、システム全体の再起動を伴わずに、重大な脆弱性（例：TCP/IP スタック）からの部分的回復を可能にするか？
• RQ5 MPU と比較して、CHERI を隔離に統合する際のハードウェアコスト（LUT とレジスタ領域）はどの程度か？

主な発見

• CompartOS は、MPU ベースの IPC よりも保護ドメイン間遷移の遅延を 95% 減少させ、22 マイクロ秒未満のフォールト処理を達成した。
• MPU ベースのソリューション（例：uVisor）が見逃す 13 個の FreeRTOS-TCP の脆弱性のうち 10 個を検出し、封じ込めることができた。
• CompartOS における TCP トランスポートスループットは、MPU ベースのモデル（例：ACES）よりも 52% 速く、非保護システムと比較してわずか 15% のオーバーヘッドに抑えられた。
• FPGA 上での CompartOS は、CHERI をサポートするために LUT で 10.4% のオーバーヘッドを発生させたが、MPU と比較して 7.6% に比べてわずかに高い。レジスタ領域のオーバーヘッドは 1.3% で、MPU の 2% と比較して低かった。
• 損傷した TCP/IP スタックは 1 秒で再起動でき、リアルタイムコンポーネントへの影響は最小限だった。一方、隔離されていないシステムでは少なくとも 2 秒必要で、すべての処理が停止していた。
• CompartOS のフォールトハンドラは、ソースコードの変更なしにメモリ破壊を効果的に隔離・回復させ、システムの可用性とリアルタイム保証を維持した。