[論文レビュー] ReZone: Disarming TrustZone with TEE Privilege Reduction

David Cerdeira, José C. Martins+2 more|arXiv (Cornell University)|Mar 2, 2022

Security and Verification in Computing被引用数 4

ひとこと要約

ReZoneは、TZASCやSMMUなどの市販ハードウェアプリミティブを用いて、信頼できるOSを隔離されたサンドボックス化されたゾーンに分割することで、TrustZone支援型TEEにおける特権の低減メカニズムを提案する。S.EL1特権の制限により攻撃面を縮小し、実世界のワークロード（DRM動画エンコードなど）において許容可能なパフォーマンスオーバーヘッドを伴いながら、調査されたCVEの86.84％を軽減する。

ABSTRACT

In TrustZone-assisted TEEs, the trusted OS has unrestricted access to both secure and normal world memory. Unfortunately, this architectural limitation has opened an aisle of exploration for attackers, which have demonstrated how to leverage a chain of exploits to hijack the trusted OS and gain full control of the system, targeting (i) the rich execution environment (REE), (ii) all trusted applications (TAs), and (iii) the secure monitor. In this paper, we propose ReZone. The main novelty behind ReZone design relies on leveraging TrustZone-agnostic hardware primitives available on commercially off-the-shelf (COTS) platforms to restrict the privileges of the trusted OS. With ReZone, a monolithic TEE is restructured and partitioned into multiple sandboxed domains named zones, which have only access to private resources. We have fully implemented ReZone for the i.MX 8MQuad EVK and integrated it with Android OS and OP-TEE. We extensively evaluated ReZone using microbenchmarks and real-world applications. ReZone can sustain popular applications like DRM-protected video encoding with acceptable performance overheads. We have surveyed 80 CVE vulnerability reports and estimate that ReZone could mitigate 86.84% of them.

研究の動機と目的

• 信頼できるOSがS.EL1特権を過剰に保持するTrustZoneにおける深刻なセキュリティ欠陥を是正し、侵害された場合に深刻な特権昇格が発生するのを防ぐ。
• 既存の市販ハードウェアプリミティブを活用して、信頼できるOSを隔離され、特権が制限されたゾーンに分割することで、TEEの攻撃面を縮小する。
• 新しいハードウェアを必要とせず、OP-TEE や Android などの既存の TEE スタックとの後方互換性を維持しながら、セキュリティを強化する。
• 信頼できる世界と通常世界のメモリへのアクセス制限により、侵害後も横方向移動を防ぐことで、実世界の脆弱性を軽減する。
• i.MX 8MQuad EVK などのコンsumerプラットフォーム上で、提案されたアーキテクチャの実用的妥当性とパフォーマンス効率を実証する。

提案手法

• TZASCによるメモリ隔離とSMMUによるIOMMUベースのアクセス制御という、TrustZone非依存の既存ハードウェアプリミティブを活用し、ゾーンレベルのメモリ保護を強制する。
• モノリシックな信頼できるOSを、それぞれが専用リソースにのみアクセス可能で、共有リソースや通常世界メモリへのアクセスが制限された複数の隔離ゾーンに再構築する。
• SMMUを物理ページテーブルコントローラ（PPC）として使用し、ゾーンごとに動的にページテーブルのアクセス権限を設定することで、静的レジスタベースの設定を置き換える。
• 世界遷移（EL3 → S.EL1およびその逆）を管理するトランプラムコードを統合し、適切なページテーブル設定とSMMU TLB無効化を保証することで、アクセス制御の強制を実現する。
• ACU（アクセス制御ユニット）を活用して、SMMU やページテーブルへのCPUの不正アクセスを防止し、ポリシーの整合性を確保する。
• i.MX 8MQuad EVK プラットフォーム上で OP-TEE と Android OS に ReZone を統合することで、信頼できるOSやTAsに変更を加えずに既存のTEEとの互換性を維持する。

実験結果

リサーチクエスチョン

• RQ1 信頼できるOSのシステムリソースへのアクセスを制限することで、TrustZone支援型TEEにおける特権の爆発的拡大を緩和できるか？ その際、パフォーマンスや互換性を損なわないか？
• RQ2 既存の市販ハードウェアプリミティブ（例：TZASC, SMMU）をどれだけ細かく隔離を実現するために再利用できるか？
• RQ3 ReZoneは、信頼できるOSやTAsに影響を与える実世界の脆弱性に対して、どの程度効果的に軽減できるか？
• RQ4 DRM保護付き動画エンコードなどの実世界アプリケーションを実行する際、ReZoneのパフォーマンスオーバーヘッドはどの程度か？
• RQ5 ReZoneは、ハードウェアやソフトウェアのアーキテクチャを変更することなく、OP-TEE や Android などの既存の TEE スタックに統合可能か？

主な発見

• ReZoneは、信頼できるOSの特権昇格能力を制限することで、調査された80件のCVE脆弱性報告のうち86.84％を効果的に軽減した。
• ReZoneのパフォーマンスオーバーヘッドは最小限であり、i.MX 8MQuad EVK プラットフォーム上でDRM保護付き動画エンコードが許容可能なパフォーマンスで実行された。
• マイクロベンチマークの結果、ReZoneの隔離メカニズムは最小限の遅延を引き起こし、システムコールやゾーン間通信において高いスループットを維持した。
• SMMUをPPCとして使用することで、効率的なTLB管理を伴う動的で細かく制御可能なアクセス制御が可能となり、高価なキャッシュやクラスタ同期の必要がなくなった。
• ReZoneは既存のTEEスタックとの後方互換性を維持しており、信頼できるOSやTAsに変更を加えずにAndroidおよびOP-TEEに統合可能であった。
• アーキテクチャにより、たとえゾーンやTAが侵害されたとしても、ハードウェアで強制されたアクセスポリシーのおかげで、他のゾーンや通常世界への横方向移動がブロックされた。