[論文レビュー] Good Motive but Bad Design: Why ARM MPU Has Become an Outcast in Embedded Systems

Wei Zhou, Le Guan+2 more|arXiv (Cornell University)|Aug 9, 2019

Security and Verification in Computing参考文献 4被引用数 7

ひとこと要約

この論文は、ARMのメモリ保護ユニット（MPU）が、そのセキュリティ上の潜在的価値にもかかわらず、実世界の組み込みシステムではほとんど使われていない理由を調査している。MPUの基本的設計上の欠陥——制限された領域数、柔軟性に欠けるアラインメント、特権レベル遷移に伴うパフォーマンスオーバーヘッド——が、セキュリティ上の利点を損なう一方で、複雑性を増していることが明らかになった。本研究では、MPUを搭載したFreeRTOSが、これらのアーキテクチャ的欠陥のため、実際のセキュリティ上の利点がほとんどないことを示しており、サブリージョンマスクやソフトウェアハードニング技術といった実用的な改善策を提案することで、使いやすさと有効性を高めるものである。

ABSTRACT

As more and more embedded devices are connected to the Internet, leading to the emergence of Internet-of-Things (IoT), previously less tested (and insecure) devices are exposed to miscreants. To prevent them from being compromised, the memory protection unit (MPU), which is readily available on many devices, has the potential to become a free lunch for the defenders. To our surprise, the MPU is seldom used by real-world products. The reasons are multi-fold. While there are non-technical reasons such as compatibility issues, more importantly, we found that MPU brings virtually no security enhancement at the expense of decreased performance and responsiveness. In this work, we investigate the MPU adoption in major real-time operating systems (RTOSs), in particular, the FreeRTOS, and try to pinpoint the fundamental reasons to explain why MPU is not favored. We hope our findings can inspire new remedial solutions to change the situation. We also review the latest MPU design and provide technical suggestions to build more secure embedded systems.

研究の動機と目的

• 20年以上にわたり利用可能であるにもかかわらず、低コストのハードウェアセキュリティ機能であるARM MPUが、実世界の組み込みシステムでほとんど採用されていない理由を調査すること。
• リアルタイムオペレーティングシステム（RTOS）における効果的なセキュリティ強化を妨げるARMv7-M MPUの根本的な設計制限を分析すること。
• IoTデバイスに広く使われているRTOSとしてのFreeRTOSにおける、MPU使用の実際のセキュリティ的利益とパフォーマンスコストを評価すること。
• レガシーコンポーネントに適合する後方互換性のある改善策を提案し、レガシーコンポーネントにおけるMPUの使いやすさと有効性を高めること。
• 将来のハードウェアおよびソフトウェア設計が、リソース制限のある環境においてより安全で、軽量かつ効率的なメモリ保護メカニズムへと向かうための指針を示すこと。

提案手法

• 主なRTOS、特にFreeRTOS、Mbed、NucleusなどにおけるMPUサポートの包括的分析を通じて、実世界での採用状況を評価した。
• MPUのプログラミングモデルを評価し、領域設定、アラインメント制約、サブリージョン無効化機能、特権レベル遷移に焦点を当てた。
• タスク切り替えと割り込み処理によるMPUに起因するパフォーマンスオーバーヘッドを測定し、特権昇格が主要なボトルネックであることを特定した。
• メモリ領域の再利用を最適化し、フラグメンテーションを低減するために、サブリージョン無効化フィールド（SRD）の使用を提案・評価した。
• 静的解析（例：MINION）などのソフトウェアベースの緩和戦略を検討し、メモリセグメントをクラスタリングしてMPU領域数を最小限に抑える手法を検証した。
• TrustLite やARMv8-Mの強化といったハードウェアレトロフィットソリューションを検討し、将来志向的な観点からアーキテクチャ的制限を解消する方法を探った。

実験結果

リサーチクエスチョン

• RQ1 ARM MPUは、利用可能で低コストであるにもかかわらず、なぜ生産用の組み込みシステムやRTOSでほとんど無視されているのか？
• RQ2 ARMv7-M MPUは、実世界のRTOS環境（例：FreeRTOS）において、実際にどの程度セキュリティを向上させているのか？
• RQ3 ARMv7-M MPUの効果性と採用を阻害する主なアーキテクチャ的および実装上の欠陥は何か？
• RQ4 ソフトウェア技術を用いることで、領域数を削減し、パフォーマンスペナルティを排除できるMPU設計の改善策は何か？
• RQ5 根本的な不柔軟性と不安全性を解消するための、長期的なハードウェアおよびソフトウェアソリューションは何か？

主な発見

• ARMv7-M MCUにおけるMPUは、制限された領域設定と高いパフォーマンスオーバーヘッドのため、実際のセキュリティ上の利益はほとんどない。
• MPUを搭載したFreeRTOSのポートは存在するが、実際にはほぼすべての環境で非MPUバージョンが使用されており、AWSでさえもIoTライブラリを非MPU版に統合している。
• MPU搭載システムでは、タスク切り替えやハードウェア割り込みごとに特権昇格が必要となり、顕著なパフォーマンス劣化と応答性の低下が生じる。
• 2の累乗でかつアラインメントされたメモリ領域を要求するため、任意サイズの領域を割り当てる際のメモリ使用効率が著しく悪くなる。
• サブリージョン無効化フィールド（SRD）を巧みに活用することで、重複しないアクセスを必要とする複数のタスクが1つの8KB領域を共有する場合、メモリの無駄を最大50％まで削減できる。
• ARMv8-Mは領域数と柔軟性を向上させたが、特権遷移のオーバーヘッドや細粒度アクセス制御の欠如といった根本的問題は解決していない。