[論文レビュー] libmpk: Software Abstraction for Intel Memory Protection Keys

Soyeon Park, Sangho Lee+3 more|arXiv (Cornell University)|Nov 18, 2018

Security and Verification in Computing参考文献 31被引用数 9

ひとこと要約

この論文では、Intel Memory Protection Keys (MPK) のソフトウェア抽象化である libmpk を提案する。libmpk は、使用後フリー（use-after-free）やキーの破損といったセキュリティ上の欠陥を解消し、16個以上のメモリページグループのスケーラブルな管理を可能にするとともに、スレッド間の権限同期をサポートする。評価では、libmpk はパフォーマンスオーバーヘッドを 1% 未塔に抑え、OpenSSL や JavaScript JIT、Memcached において mprotect()-ベースの安全な代替実装と比較して 8.1倍の性能向上を達成している。

ABSTRACT

Intel memory protection keys (MPK) is a new hardware feature to support thread-local permission control on groups of pages without requiring modification of page tables. Unfortunately, its current hardware implementation and software supports suffer from security, scalability, and semantic-gap problems: (1) MPK is vulnerable to protection-key-use-after-free and protection-key corruption; (2) MPK does not scale due to hardware limitations; and (3) MPK is not perfectly compatible with mprotect() because it does not support permission synchronization across threads. In this paper, we propose libmpk, a software abstraction for MPK. libmpk virtualizes protection keys to eliminate the protection-key-use-after-free and protection-key corruption problems while supporting a tremendous number of memory page groups. libmpk also prevents unauthorized writes to its metadata and supports inter-thread key synchronization. We apply libmpk to three real-world applications: OpenSSL, JavaScript JIT compiler, and Memcached for memory protection and isolation. An evaluation shows that libmpk introduces negligible performance overhead (<1%) compared with insecure versions, and improves their performance by 8.1x over secure equivalents using mprotect(). The source code of libmpk will be publicly available and maintained as an open source project.

研究の動機と目的

• Intel MPK に内在する深刻なセキュリティ脆弱性、特に保護キーの使用後フリーと未初期化された解放済みキーによるキーの破損を是正すること。
• MPK のハードウェア制限（保護キーが16個まで）を克服し、スケーラブルなメモリパーティショニングを可能にするために、キーの仮想化を実現すること。
• MPK のスレッド単位の権限制御と mprotect() のプロセス単位のセマンティクスの間の意味的ギャップを埋めるために、スレッド間のキー同期を有効にすること。
• 安全で効率的なソフトウェア抽象化を用いて、実世界のアプリケーションにおける実用的で高性能なメモリ隔離を実現すること。

提案手法

• ソフトウェア管理のキー空間を用いて保護キーを仮想化し、アプリケーションレベルのキーとハードウェアの制限を分離することで、数千個の仮想キーをサポート可能にする。
• キーの使用状態を追跡するメタデータ構造を導入し、アクセス前にキーの状態を検証することで、使用後フリーを防止する。
• ハードウェアによるメモリ保護とアクセス制御を活用してメタデータの整合性を強制し、不正な変更を防ぐ。
• スレッド間の同期プリミティブを実装し、スレッド間での権限変更を調整することで、MPK の振るまいを mprotect() のセマンティクスに一致させる。
• MPK の複雑さを抽象化しつつパフォーマンスを保持するシステムコールインタフェースを設計し、既存アプリケーションとのシームレスな統合を可能にする。
• パフォーマンスへの影響を最小限に抑えるために、既存の MPK ハードウェア機能（例：WRPKRU）を活用して、権限の更新を高速化する。

実験結果

リサーチクエスチョン

• RQ1 ソフトウェア抽象化は、Intel MPK の現在の実装に内在するセキュリティ脆弱性（使用後フリー、キーの破損など）を効果的に緩和できるか？
• RQ2 ソフトウェア層は、MPK のハードウェア制限（16個の保護キー）を克服し、アプリケーションにおけるスケーラブルなメモリパーティショニングを可能にするか？
• RQ3 スレッド間の権限同期は、MPK のスレッドローカルな振るまいと mprotect() のプロセスワイドなセマンティクスを一致させるために、効果的にモデル化可能か？
• RQ4 このような抽象化のパフォーマンスオーバーヘッドは、実世界の生産環境アプリケーションにおいてどの程度か？

主な発見

• libmpk は、直接的な MPK を使用する不安全なバージョンと比較して、無視できるほどのパフォーマンスオーバーヘッド（1% 未塔）を実現している。
• mprotect() を用いた安全なメモリ保護に置き換える場合、OpenSSL や JavaScript JIT コンパイラ、Memcached といった実世界のアプリケーションにおいて、libmpk は mprotect()-ベースの安全実装と比較して 8.1倍の性能向上を達成している。
• キー状態の検証とハードウェア保護によるメタデータの保護を通じて、保護キーの使用後フリーとキーの破損が効果的に防止されている。
• キー仮想化により、ハードウェア上の物理的保護キーが16個という制限にもかかわらず、数千個の仮想メモリページグループをサポートしている。
• スレッド間の権限同期が効果的にモデル化されており、MPK のスレッド単位の制御と mprotect() のプロセス単位の制御の間の意味的ギャップが解消されている。
• OpenSSL、JavaScript JIT コンパイラ、Memcached における評価から、libmpk が最小限のランタイムコストで安全かつ高性能なメモリ隔離を実現していることが確認された。