[論文レビュー] Glider: A GPU Library Driver for Improved System Security

Ardalan Amiri Sani, Lin Zhong+1 more|arXiv (Cornell University)|Nov 14, 2014

Security and Verification in Computing参考文献 37被引用数 4

ひとこと要約

Gliderは、GPUデバイスリソース管理を信頼できないユーザースペースライブラリに移行させつつ、最小限の信頼できるカネルモジュールによってハードウェアアクセスを隔離するライブラリドライバアーキテクチャを提案する。これにより、信頼計算基盤（TCB）が35–90％削減され、OpenGL即時モードなどのI/O集約的ワークロードにおいて性能が向上し、GPUドライバにおいてセキュリティと効率性が両立可能であることを示している。

ABSTRACT

Legacy device drivers implement both device resource management and isolation. This results in a large code base with a wide high-level interface making the driver vulnerable to security attacks. This is particularly problematic for increasingly popular accelerators like GPUs that have large, complex drivers. We solve this problem with library drivers, a new driver architecture. A library driver implements resource management as an untrusted library in the application process address space, and implements isolation as a kernel module that is smaller and has a narrower lower-level interface (i.e., closer to hardware) than a legacy driver. We articulate a set of device and platform hardware properties that are required to retrofit a legacy driver into a library driver. To demonstrate the feasibility and superiority of library drivers, we present Glider, a library driver implementation for two GPUs of popular brands, Radeon and Intel. Glider reduces the TCB size and attack surface by about 35% and 84% respectively for a Radeon HD 6450 GPU and by about 38% and 90% respectively for an Intel Ivy Bridge GPU. Moreover, it incurs no performance cost. Indeed, Glider outperforms a legacy driver for applications requiring intensive interactions with the device driver, such as applications using the OpenGL immediate mode API.

研究の動機と目的

• モノリシックカネルに埋め込まれた大規模で複雑なGPUデバイスドライバが引き起こす増大するセキュリティリスクに対処すること。
• デバイスリソース管理と隔離ロジックを分離することで、信頼計算基盤（TCB）と攻撃面を縮小すること。
• リソース管理をユーザースペースで実行するライブラリドライバモデルを通じて、安全で高性能なGPUアクセスを実現すること。
• Radeon HD 6450 やIntel Ivy Bridge などの実世界のGPU上で、実現可能性と性能上の利点を実証すること。
• レガシードライバをライブラリドライバに改造するためのハードウェア要件——メモリ隔離、無害なインターフェース、帰属が明確な割り込み——を特定および検証すること。

提案手法

• レガシードライバを2つのコンponentに分解：ハードウェア隔離のための最小限の信頼できるカネルモジュールと、リソース管理のための信頼できないユーザースペースデバイスライブラリ。
• IOMMUなどの既存のハードウェア機能を活用してメモリ隔離とハードウェアコンテキスト分離を実現し、安全なリソースバインディングを可能にする。
• 既存のオープンソースGPUドライバ（Radeon、Intel）をライブラリドライバ形式に改造し、機能を保持しつつカーネルコードを最小限に抑える。
• mmap や brk といったシステムコールをメモリアカウンティングに使用し、OSがデバイスメモリ使用状況を可視化できるようにする。
• 低レベルで限定的なインターフェースを通じてアクセスを中継するデバイスカーネルを実装し、完全なドライバと比較して攻撃面を削減する。
• OpenGL即時モードとバッファ割り当てベンチマークを用いた性能評価により、オーバーヘッドと利点を測定する。

実験結果

リサーチクエスチョン

• RQ1 カーネル空間からユーザースペースライブラリにデバイスリソース管理を移行させても、隔離が保たれるのか？
• RQ2 レガシードライバをライブラリドライバモデルに安全に改造するためには、どのようなハードウェア特性が必要か？
• RQ3 ライブラリドライバは、従来のドライバと比較して、どれほどTCBサイズと攻撃面を縮小できるか？
• RQ4 ライブラリドライバモデルは性能コストを伴うのか、それともI/O集約的ワークロードでレガシードライバを上回る性能を発揮できるのか？
• RQ5 モノリシックドライバと比較して、ライブラリドライバモデルはメモリアカウンティング、デバッグ、プロセス間共有にどのような影響を与えるか？

主な発見

• Radeon HD 6450 GPUでは、GliderによりTCBサイズが約35％削減され、攻撃面が84％削減された。
• Intel Ivy Bridge GPUでは、TCBサイズが約38％削減され、攻撃面が90％削減された。
• OpenGL即時モードレンダリングなど、インタラクションが集約的なワークロードでは、システムコールとデータコピーオーバーヘッドの削除により、Gliderがレガシードライバを上回る性能を示した。
• ライブラリドライバは性能コストを負わず、I/O集約的シナリオでは測定可能な性能向上を示した。
• すべてのデバイスメモリ割り当てがmmap や brk といった標準OSインタフェースを通じて可視化されるようになったため、より良いメモリアカウンティングが可能になった。
• ユーザースペースでのデバッグツールや高水準言語の使用が可能になり、開発が簡素化され、保守性が向上し、タイミングバグの発生も減少した。