[論文レビュー] Contemporary Processors Are Leaky -- and There's Nothing You Can Do About It

Qian Ge, Yuval Yarom+2 more|arXiv (Cornell University)|Dec 14, 2016

Parallel Computing and Optimization Techniques被引用数 2

ひとこと要約

この論文は、現代のx86およびARMプロセッサが、キャッシュ、TLB、分岐予測ユニット、プリフェッチャーなどのマイクロアーキテクチャ的特徴を通じて本質的に顕著なタイミングチャネルを露呈していることを示しており、既存のOSレベルのフラッシュ機構ではこれらのチャネルを完全に閉じられないことを明らかにしている。主な発見は、テストされたすべてのプロセッサにおいて、少なくとも1つの主要なタイミングチャネルが持続しており、現在の主流のハードウェアでは完全なチャネル対策が不可能であるということである。

ABSTRACT

Timing channels are information flows, encoded in the relative timing of events, that bypass the system's protection mechanisms. Any microarchitectural state that depends on execution history and affects the rate of progress of later executions potentially establishes a timing channel, unless explicit steps are taken to close it. Such state includes CPU caches, TLBs, branch predictors and prefetchers; removing the channels requires that the OS can partition such state or flush it on a switch of security domains. We measure the capacities of channels based on these microarchitectural features on several generations of processors across the two mainstream ISAs, x86 and ARM, and investigate the effectiveness of the flushing mechanisms provided by the respective ISA.We find that in all processors we studied, at least one significant channel remains. This implies that closing all timing channels seems impossible on contemporary mainstream processors.

研究の動機と目的

• 既存のOSレベルのフラッシュ機構を用いて、主流プロセッサにおけるタイミングチャネルを完全に緩和できるかどうかを調査すること。
• キャッシュ、TLB、分岐予測ユニット、プリフェッチャーなどのマイクロアーキテクチャ的特徴に起因するタイミングチャネルの容量を測定すること。
• x86およびARM ISAが提供するフラッシュ機構の有効性を、セキュリティドメインの切り替えに伴う感受性なマイクロアーキテクチャ状態のクリア能力を評価すること。
• 現在のプロセッサアーキテクチャにおいて、ソフトウェアまたはハードウェア的手法を用いてすべてのタイミングチャネルを排除することが可能かどうかを検討すること。

提案手法

• 著者らは、制御された実行ワークロードを用いて、複数世代のx86およびARMプロセッサ上でタイミングチャネル容量を測定した。
• 実行履歴に依存するマイクロアーキテクチャ状態と、それが実行進捗速度に与える影響を分析した。
• x86およびARM ISAに備わるフラッシュ機構を評価し、セキュリティドメイン切り替えに伴う感受性なマイクロアーキテクチャ状態のクリア能力を検証した。
• タイミングチャネル容量は、制御された並列実行シナリオにおける観察可能なタイミング変動を測定することで定量化した。
• 分析は、CPUキャッシュ、TLB、分岐予測ユニット、プリフェッチャーといった、コントロールド情報漏洩の原因となる機能に焦点を当てた。

実験結果

リサーチクエスチョン

• RQ1 既存のOSレベルのフラッシュ機構は、現代のx86およびARMプロセッサにおけるタイミングチャネルを完全に閉じられるか？
• RQ2 現在の主流プロセッサにおけるタイミングチャネルの最大情報漏洩容量はどの程度か？
• RQ3 どのマイクロアーキテクチャ的特徴が恒久的なタイミングチャネルに最も寄与しているか？
• RQ4 現在の主流プロセッサアーキテクチャにおいて、完全なタイミングチャネル対策を達成することは可能か？

主な発見

• OSレベルのフラッシュ機構を用いても、テストされたすべてのx86およびARMプロセッサにおいて、少なくとも1つの顕著なタイミングチャネルが依然として活性化している。
• 持続的なチャネルは、既存のISAが提供するフラッシュ命令では完全にクリアできない、キャッシュ、TLB、分岐予測ユニット、プリフェッチャーなどのマイクロアーキテクチャ的特徴に起因している。
• これらの残留チャネルの容量は、意味のある情報を漏洩させるのに十分であり、現在のプロセッサ設計における根本的な制限を示している。
• 本研究は、現在の主流プロセッサアーキテクチャでは、ソフトウェア的またはハードウェア的技術を用いてすべてのタイミングチャネルを閉じることは不可能であると結論づけた。