[論文レビュー] Enclave-Aware Compartmentalization and Secure Sharing with Sirius

Zahra Tarkhani, Anil Madhavapeddy|arXiv (Cornell University)|Sep 3, 2020

Security and Verification in Computing参考文献 70被引用数 4

ひとこと要約

Siriusは、カーネルオブジェクト（例：スレッド、ファイル、ソケット）を介したデータフローを、セキュアワールドおよびノーマルワールドの両方で制御することにより、TEE支援アプリケーションにおける強力な隔離と安全な共有を実現する、新しいコンpartimentalizationフレームワークである。これは、細粒度のアクセス制御を強制することでTEEにおける意味的ギャップを解消し、攻撃面を縮小し、平均で10.8%のわずかなオーバーヘッドで、既存のTEEアプリケーションでは0.05%〜5.6%の性能向上を達成する。

ABSTRACT

Hardware-assisted trusted execution environments (TEEs) are critical building blocks of many modern applications. However, they have a one-way isolation model that introduces a semantic gap between a TEE and its outside world. This lack of information causes an ever-increasing set of attacks on TEE-enabled applications that exploit various insecure interactions with the host OSs, applications, or other enclaves. We introduce Sirius, the first compartmentalization framework that achieves strong isolation and secure sharing in TEE-assisted applications by controlling the dataflows within primary kernel objects (e.g. threads, processes, address spaces, files, sockets, pipes) in both the secure and normal worlds. Sirius replaces ad-hoc interactions in current TEE systems with a principled approach that adds strong inter- and intra-address space isolation and effectively eliminates a wide range of attacks. We evaluate Sirius on ARM platforms and find that it is lightweight ($\approx 15K$ LoC) and only adds $\approx 10.8\%$ overhead to enable TEE support on applications such as httpd, and improves the performance of existing TEE-enabled applications such as the Darknet ML framework and ARM's LibDDSSec by $0.05\%-5.6\%$.

研究の動機と目的

• 信頼実行環境（TEEs）とその非信頼性の高いホスト環境との間の意味的ギャップを解消し、不正な相互作用による攻撃を防止すること。
• OSの機能を介した不正なスレービング、メモリ破壊、特権昇格といった、TEE対応アプリケーションに一般的に見られる脆弱性を排除すること。
• 両方のワールド（セキュアおよびノーマル）における強力な隔離と安全な共有を実現する、体系的かつ合成可能なメカニズムを提供すること。
• TEEインターフェースの手作業的で誤りの多いセキュリティ強化に依存するのを減らし、カーネルオブジェクトレベルでのアクセス制御を強制することで、セキュリティを向上させること。
• 最小限のパフォーマンス影響と広範なTEEプラットフォーム互換性を備えた、安全でマルチスレッド対応のTEEアプリケーションを可能にすること。

提案手法

• Siriusは、ノーマルワールドおよびセキュアワールドの両方で、スレッド、メモリ領域、ファイル、ソケットなどのカーネルオブジェクトに対するアクセス制御ポリシーを強制する、モジュール間制御（IMC）メカニズムを導入する。
• mm_structおよびtask_structにIMCメタデータを拡張し、各オブジェクトの操作ビットマップ（読込、書込、実行、割り当て）と状態追跡を追加する。
• システムコールや特権遷移のたびにIMC権限をチェックすることで、データフロー制御を強制し、許可された操作のみを許可する。
• ARM TrustZone や Intel SGX などの既存のTEEハードウェア隔離機能を活用しつつ、システムリソースに対して必須アクセス制御のレイヤーを追加する。
• 共有メモリ、RPC、IPC のポリシーに基づいた共有を強制することで、セキュアインセンブレおよびプロセス間通信を可能にする。
• 本システムは軽量設計であり、約15K行のコードで構成されており、ARMおよびx86-64などのさまざまなTEEプラットフォームでポータブルである。

実験結果

リサーチクエスチョン

• RQ1 TEEとそのホスト環境との間の意味的ギャップをどのように埋め、不正な相互作用による攻撃を防げるか？
• RQ2 カーネルオブジェクト（スレッド、ファイル、共有メモリなど）を介した、セキュアワールドおよびノーマルワールドの両方で、強力で細粒度の隔離と安全な共有を実現するメカニズムは何か？
• RQ3 体系的かつ合成可能なアクセス制御フレームワークは、性能コストが著しく増大することなく、TEEアプリケーションの攻撃面を縮小できるか？
• RQ4 提案されたIMCベースのアクセス制御モデルは、TOCTTOU、ROP、BOOMERANG攻撃といった実世界のTEE脆弱性をどれほど効果的に緩和できるか？
• RQ5 Siriusは、最小限の変更で既存のTEEスタックに統合可能か、その範囲はどの程度か？

主な発見

• Siriusは、スレッド、ファイル、共有メモリなどのカーネルオブジェクトに対する必須アクセス制御を強制することで、TEEアプリケーションの攻撃面を縮小する。
• httpd などのアプリケーションにTEEサポートを有効化する際、平均して約10.8%のパフォーマンスオーバーヘッドしか追加しないが、システムレベルのパフォーマンスへの影響は最小限である。
• Darknet や LibDDSSec といった既存のTEE対応アプリケーションでは、攻撃面の縮小と最適化されたデータフロー制御のおかげで、0.05%〜5.6%のパフォーマンス向上が達成された。
• システムは軽量で、約15K行のコードで構成されており、Intel SGX や RISC-V Keystone などの他のTEEプラットフォームへの拡張も容易である。
• Siriusは、カーネルオブジェクトレベルでの厳密な隔離とアクセス制御を強制することで、TOCTTOU、ROP、BOOMERANG、HPE といった既知の攻撃クラスを効果的に緩和する。
• 本フレームワークは、メモリタギングや CHERI などの現代のCPU機能と互換性があり、将来のセキュリティ強化拡張を可能にする。