[論文レビュー] Intel MPX Explained: An Empirical Study of Intel MPX and Software-based Bounds Checking Approaches

Oleksii Oleksenko, Dmitrii Kuvaiskii+3 more|arXiv (Cornell University)|Feb 2, 2017

Security and Verification in Computing参考文献 30被引用数 43

ひとこと要約

この論文は、C/C++プログラムのハードウェア支援型境界チェック拡張であるIntel MPXを、AddressSanitizer、SoftBound、SAFECodeといったソフトウェアベースのソリューションと比較して評価している。空間的エラーの保護は強く発揮されるが、平均して約50％の高いパフォーマンスオーバーヘッドを伴い、ツールチェインの未熟さ、時間的エラー検出機能の欠如、マルチスレッド処理およびメモリレイアウトの柔軟性における根本的な制限を抱えており、優れた設計にもかかわらず、広範な生産環境での利用には不適切である。

ABSTRACT

Memory-safety violations are a prevalent cause of both reliability and security vulnerabilities in systems software written in unsafe languages like C/C++. Unfortunately, all the existing software-based solutions to this problem exhibit high performance overheads preventing them from wide adoption in production runs. To address this issue, Intel recently released a new ISA extension - Memory Protection Extensions (Intel MPX), a hardware-assisted full-stack solution to protect against memory safety violations. In this work, we perform an exhaustive study of the Intel MPX architecture to understand its advantages and caveats. We base our study along three dimensions: (a) performance overheads, (b) security guarantees, and (c) usability issues. To put our results in perspective, we compare Intel MPX with three prominent software-based approaches: (1) trip-wire - AddressSanitizer, (2) object-based - SAFECode, and (3) pointer-based - SoftBound. Our main conclusion is that Intel MPX is a promising technique that is not yet practical for widespread adoption. Intel MPX's performance overheads are still high (roughly 50% on average), and the supporting infrastructure has bugs which may cause compilation or runtime errors. Moreover, we showcase the design limitations of Intel MPX: it cannot detect temporal errors, may have false positives and false negatives in multithreaded code, and its restrictions on memory layout require substantial code changes for some programs.

研究の動機と目的

• Intel MPXのパフォーマンス、セキュリティ保証、実世界のシステムにおける使いやすさを評価すること。
• AddressSanitizer（トリップワイヤー）、SoftBound（ポインタベース）、SAFECode（オブジェクトベース）という3つの代表的なソフトウェアベースの境界チェック手法と、Intel MPXを比較すること。
• Intel MPXが生産環境での採用を妨げるパフォーマンスのボトルネック、セキュリティのギャップ、使いやすさの問題を特定すること。
• C/C++で書かれたシステムソフトウェアに対して、実用的で低オーバーヘッドのメモリセーフティをIntel MPXが提供できるかどうかを評価すること。

提案手法

• 標準ベンチマークから得た多様な実世界のC/C++プログラムを用いて、Intel MPXの包括的な実験的評価を実施した。
• GCCおよびICCの異なるコンパイラと最適化レベルを用い、パフォーマンスオーバーヘッドを測定し、ソフトウェアベースの代替手法と比較した。
• 境界チェックの検出能力を評価するため、バッファオーバーフローおよびダングリングポインタ問題を含む、既知のメモリセーフティ脆弱性をテストした。
• コンパイルや実行に失敗するプログラムの原因を特定するため、メモリレイアウト制限やツールチェインのバグに起因する使いやすさの問題を分析した。
• 並列実行シナリオにおける誤検出（偽陽性）および見逃し（偽陰性）を検出するために、マルチスレッド動作を調査した。
• 境界チェック命令の実行および境界レジスタへのメモリアクセスにおけるパフォーマンスボトルネックを特定・分析するために、マイクロベンチマークを用いた。

実験結果

リサーチクエスチョン

• RQ1 Intel MPXは、AddressSanitizer、SoftBound、SAFECodeといったソフトウェアベースの境界チェックソリューションと比較して、実際にどの程度のパフォーマンスオーバーヘッドを発生させるのか？
• RQ2 Intel MPXは、空間的および時間的メモリセーフティ違反の両方に対して、どの程度のセキュリティ保証を提供するのか？
• RQ3 コンパイラおよびランタイムインfraストラクチャの制限は、実際のIntel MPXの使いやすさと信頼性にどのように影響するのか？
• RQ4 Intel MPXの根本的なアーキテクチャ的制限、特にマルチスレッド処理およびメモリレイアウト制限に関しては何か？
• RQ5 現在の実装状態を踏まえると、Intel MPXは生産環境システムにおいてソフトウェアベースのツールの代替として実用的と見なせるのか？

主な発見

• Intel MPXは、境界チェック命令が単一の実行ポートでのみ効率的に実行され、境界レジスタへのメモリアクセスに高コストな2段階アドレス変換が行われるため、平均して約50％の実行時パフォーマンスオーバーヘッドを発生する。
• コンパイラインfraストラクチャは未熟である：GCC-MPXは最大150％のオーバーヘッドを引き起こし、ICC-MPXには深刻なバグがあり、10％のプログラムが正しくコンパイルまたは実行できない。
• Intel MPXは、Use-after-freeやダングリングポインタの参照といった時間的エラーに対しては保護を提供しない。これに対して、SoftBoundやSAFECodeは一部の時間的セーフティを提供する。
• Intel MPXはマルチスレッドプログラムにおいて偽陽性および偽陰性を示しており、並列実行と根本的に不適合であることが判明。性能の低下を伴わずにこれを解消するのは容易ではない。
• 厳格なメモリレイアウト制限のため、評価対象の8–13％のプログラムは大幅なコード修正なしでは正しく実行できない。さらに18％のプログラムは非侵襲的な手動修正を要した。
• 空間的エラー検出は強く発揮されるが、Intel MPXはまだ生産環境向けに準備ができていない。パフォーマンスと使いやすさの点で優れているため、AddressSanitizerが依然として唯一実用的な選択肢であり、セキュリティ保証は弱いが。