[論文レビュー] EnclaveDom: Privilege Separation for Large-TCB Applications in Trusted Execution Environments

Marcela S. Melara, Michael J. Freedman+1 more|arXiv (Cornell University)|Jul 30, 2019

Security and Verification in Computing参考文献 39被引用数 9

ひとこと要約

EnclaveDom は、Intel SGX の trusted execution environment における大規模 TCB アプリケーション向けに、ハードウェア支援による特権分離を実現するシステムであり、Memory Protection Keys (MPK) を用いてエナクローブをタグ付きメモリ領域に分割し、関数単位での細粒度アクセス制御を強制する。プロトタイプ評価では、Graphene-SGX において、信頼できないアプリケーションコードによるライブラリOSの機密な内部データ構造の改ざんを防ぎつつ、最小限のパフォーマンスおよびメモリオーバーヘッドを実現した。

ABSTRACT

Trusted executions environments (TEEs) such as Intel(R) SGX provide hardware-isolated execution areas in memory, called enclaves. By running only the most trusted application components in the enclave, TEEs enable developers to minimize the TCB of their applications thereby helping to protect sensitive application data. However, porting existing applications to TEEs often requires considerable refactoring efforts, as TEEs provide a restricted interface to standard OS features. To ease development efforts, TEE application developers often choose to run their unmodified application in a library OS container that provides a full in-enclave OS interface. Yet, this large-TCB development approach now leaves sensitive in-enclave data exposed to potential bugs or vulnerabilities in third-party code imported into the application. Importantly, because the TEE libOS and the application run in the same enclave address space, even the libOS management data structures (e.g. file descriptor table) may be vulnerable to attack, where in traditional OSes these data structures may be protected via privilege isolation. We present EnclaveDom, a privilege separation system for large-TCB TEE applications that partitions an enclave into tagged memory regions, and enforces per-region access rules at the granularity of individual in-enclave functions. EnclaveDom is implemented on Intel SGX using Memory Protection Keys (MPK) for memory tagging. To evaluate the security and performance impact of EnclaveDom, we integrated EnclaveDom with the Graphene-SGX library OS. While no product or component can be absolutely secure, our prototype helps protect internal libOS management data structures against tampering by application-level code. At every libOS system call, EnclaveDom then only grants access to those internal data structures which the syscall needs to perform its task.

研究の動機と目的

• TEE における大規模 TCB アプリケーションが引き起こすセキュリティリスクに対処すること。具体的には、信頼できない第三者コードがライブラリOSの機密な内部データ構造にアクセスし、破壊する可能性があること。
• マルチエナクローブアーキテクチャの複雑さを回避するため、単一エナクローブ内での細粒度特権分離を提供すること。
• ファイルディスクリプタテーブルのような、エナクローブ内に存在する機密データ構造を、アプリケーションレベルのコードによる改ざんから保護すること。
• 個々のエナクローブ関数単位での最小特権アクセス制御を可能にし、パフォーマンスを損なわずセキュリティを向上させること。
• 特にコンテナ化されたライブラリOS（例：Graphene-SGX）を対象とする既存の TEE アプリケーション開発モデルとシームレスに統合できること。

提案手法

• Intel SGX の Memory Protection Keys (MPK) を用いて、単一エナクローブ内のメモリ領域にタグを付与し、ハードウェアによるアクセス制御を可能にする。
• エナクローブを複数のメモリドメインに分割し、それぞれを特定の特権レベルまたはアクセスポリシーに関連付ける。
• 関数単位でアクセスルールを強制し、各システムコールが自身の処理に必要な最小限の内部データ構造にのみアクセスできるようにする。
• 開発者が機密データオブジェクトおよび内部 libOS 構造をアノテート・保護できるユーザー空間APIとしてシステムを統合する。
• EnclaveDom を Graphene-SGX ライブラリOSに統合してプロトタイプを評価し、セキュリティとパフォーマンスのトレードオフを実証する。
• 仮想化やプロセスベースの隔離を必要とせず、既存のメモリ保護のハードウェア支援を活用することで、パフォーマンスコストを回避する。

実験結果

リサーチクエスチョン

• RQ1 Intel SGX エナクローブ内での特権分離を実現するために、MPK を用いたハードウェア支援メモリタギングが効果的に利用可能か？
• RQ2 EnclaveDom は、信頼できないアプリケーションコードによるライブラリOSの機密な内部データ構造の改ざんを保護できるか？
• RQ3 EnclaveDom は、実世界の TEE ライブラリOS（例：Graphene-SGX）に統合された場合、受け入れ可能なパフォーマンスおよびメモリオーバーヘッドを伴うか？
• RQ4 EnclaveDom は、アプリケーションの複数プロセスへの再構築を必要とせずに、関数単位での細粒度アクセス制御を提供できるか？
• RQ5 EnclaveDom は、信頼できない第三者ライブラリを含むサプライチェーン攻撃に対する、従来の手法と比較して優れた保護を提供できるか？

主な発見

• EnclaveDom は、Graphene-SGX ライブラリOS内の機密な内部データ構造を信頼できないアプリケーションコードから安全に隔離し、不正アクセスや改ざんを防止した。
• プロトタイプはわずかなパフォーマンスおよびメモリオーバーヘッドしか発生せず、大規模 TCB TEE アプリケーションにおける実用的導入に適している。
• 関数単位での最小特権アクセス制御を実装することで、各システムコールが自身の処理に必要な最小限のデータ構造にのみアクセスすることを保証した。
• MPK の使用により、仮想化やプロセス隔離を必要とせず、効率的かつハードウェア支援のメモリ保護が実現された。
• EnclaveDom はマルチエナクローブアーキテクチャの代替手段として実用的であり、開発の複雑さを低減しながらセキュリティを向上させた。
• 評価により、EnclaveDom がファイルディスクリプタテーブルのような libOS 管理データ構造を、悪意あるまたは脆弱な第三者コードによる破壊から保護していることが確認された。