[論文レビュー] REORDER: Securing Dynamic-Priority Real-Time Systems Using Schedule Obfuscation

Chien-Ying Chen, Monowar Hasan+3 more|arXiv (Cornell University)|Jun 4, 2018

Real-Time Systems Scheduling参考文献 41被引用数 12

ひとこと要約

本論文は、動的優先度リアルタイムシステム（特にEDFスケジューリングを採用するもの）におけるセキュリティを強化するため、実行時スケジュールの難読化プロトコルであるREORDERを提案する。この手法は、優先度の逆転を制限することで、タスク実行パターンをランダム化し、サイドチャnel攻撃に対する耐性を高める。スケジューリング可能性は維持されたままであり、難読化の有効性を定量化するための「スケジュールエントロピー」という新たな指標を導入している。実装はLinuxカーネルに統合され、Raspberry Pi上でMiBench自動車ワークロードを用いて検証された。

ABSTRACT

The deterministic (timing) behavior of real-time systems (RTS) can be used by adversaries - say, to launch side channel attacks or even destabilize the system by denying access to critical resources. We propose a protocol (named REORDER) to obfuscate this predictable timing behavior of RTS, especially ones designed using dynamic-priority scheduling algorithms (e.g., EDF). We also present a metric (named "schedule entropy") that measures the levels of obfuscation introduced into a given real-time system. The REORDER protocol was integrated into the standard Linux real-time scheduler and evaluated on a realistic embedded platform (Raspberry Pi) running the MiBench automotive benchmark workloads. We also demonstrate how designers of RTS can increase the security of their systems and also quantitatively measure the impact (both in terms of security and performance) of using this protocol.

研究の動機と目的

• リアルタイムシステム（RTS）の予測可能なタイミング行動を狙ったサイドチャnel攻撃およびサービス拒否攻撃の増加する脅威に対処すること。
• 動的優先度スケジューラには効果が薄い、あるいは難読化の定量的評価が欠落している既存のセキュリティ対策の限界を克服すること。
• タイミング保証を損なわずに、リアルタイムシステムにおけるタスク実行パターンをランダム化する実用的で、スケジューリング可能性を保証する手法を開発すること。
• 比較的評価が可能な新しい指標「スケジュールエントロピー」を導入し、リアルタイムスケジュールにおける難読化の度合いを定量化すること。
• 実ハードウェア上で実証評価可能な仕組みを提供し、システム設計者がセキュリティとパフォーマンスのトレードオフを評価・調整できるようにすること。

提案手法

• EDFベースのシステムにおけるタスクスケジューリングをランダム化するため、制限付きの優先度逆転を導入する実行時プロトコルREORDERを提案し、スケジューリング可能性が保たれることを保証する。
• タイマーを用いたメカニズム（reorder_pi_timer）を採用し、優先度逆転の持続時間を制御する。設定可能なモードとして、REORDER_NORMAL、REORDER_IDLE_TIME、REORDER_FINE_GRAINED、REORDER_RECLAMATIONを用意する。
• スケジューリングのコアファイル（sched.h、core.c、deadline.c）を変更することで、Linuxカーネルにプロトコルを実装し、タスク固有およびスケジューラ固有の変数をサポートする。
• 区間長mと閾値πを用いた近似エントロピーに基づくスケジュールエントロピー指標を定義し、単純なエントロピー近似の限界を克服する。
• 離散フーリエ変換（DFT）分析を用いて、難読化されたスケジュールがタスク周波数を曇らせることが示され、サイドチャネル再構築の可能性が低下することを実証する。
• Raspberry Piプラットフォーム上で、MiBench自動車ベンチマークを用いて実世界のパフォーマンスとセキュリティへの影響を測定する。

実験結果

リサーチクエスチョン

• RQ1 制限付きの優先度逆転を用いて、EDFベースのシステムにおけるリアルタイムスケジュールを難読化できるか。その際、タイミング保証を損なわないか。
• RQ2 リアルタイムスケジュールにおける難読化の度合いをどのように定量的に測定できるか。また、このような難読化によって導入されたランダムネスを最も適切に捉える指標は何か。
• RQ3 REORDERを実世界の組み込みワークロードに適用した際のパフォーマンスオーバーヘッドおよびスケジューリング可能性への影響は何か。
• RQ4 提案されたスケジュールエントロピー指標は、理論的エントロピーと比較して、周期的タスクスケジュールにおける真のランダムネスをどれほど正確に捉えられるか。
• RQ5 REORDERによるスケジュール難読化は、周波数分析に基づくサイドチャネル攻撃の実行可能性をどの程度低減するか。

主な発見

• REORDERはスケジューリング可能性を正確に保持する：元のEDFでスケジューリング可能であったタスク集合は、REORDERの難読化スケジューリングでも依然としてスケジューリング可能である。
• 提案されたスケジュールエントロピー指標は、実行パターンのランダムネスを効果的に捉えており、評価されたタスク集合において、近似エントロピーと真のエントロピーの相関係数が約0.82に達している。
• DFT分析により、REORDERによる難読化スケジュールがタスク周波数を曇らせることが示された。特に非調和的周期を持つタスクに対して顕著であり、サイドチャネル再構築が著しく困難になる。
• LinuxカーネルへのREORDER実装は、実装可能性と低ランタイムオーバーヘッドを示しており、Raspberry Pi上でMiBench自動車ベンチマークを用いた実ハードウェア上での測定により、明確なセキュリティ向上が確認された。
• REORDER_NORMAL、REORDER_IDLE_TIME、REORDER_FINE_GRAINED、REORDER_RECLAMATIONの4つのスケジューリングモードにより、システム要件に応じてセキュリティとパフォーマンスのトレードオフを設計者が調整可能である。
• 区間ベースの方法によるエントロピー近似（m = ⌈0.35L⌉、π = 0.1L）は、異なるスケジューリング方式間での難読化度の比較に実用的かつスケーラブルな手法を提供する。