[論文レビュー] Robust and Efficient Elimination of Cache and Timing Side Channels

Benjamin Braun, Suman Jana+1 more|arXiv (Cornell University)|May 31, 2015

Security and Verification in Computing参考文献 44被引用数 21

ひとこと要約

この論文では、プログラマーのアノテーションを用いて機密関数を隔離し、安全な時間パディングを適用し、共有ハードウェア状態を遅延クリーニングすることで、タイミングおよびキャッシュ側信道漏洩を排除する低オーバーヘッドでクロス言語対応の防御を提示する。SSL/TLSサーバーにおいては5%未満のパフォーマンスオーバーヘッドを達成し、C、C++、Javaプログラムにおいてローカルおよびリモート攻撃の両方に対して保護を提供する。

ABSTRACT

Timing and cache side channels provide powerful attacks against many sensitive operations including cryptographic implementations. Existing defenses cannot protect against all classes of such attacks without incurring prohibitive performance overhead. A popular strategy for defending against all classes of these attacks is to modify the implementation so that the timing and cache access patterns of every hardware instruction is independent of the secret inputs. However, this solution is architecture-specific, brittle, and difficult to get right. In this paper, we propose and evaluate a robust low-overhead technique for mitigating timing and cache channels. Our solution requires only minimal source code changes and works across multiple languages/platforms. We report the experimental results of applying our solution to protect several C, C++, and Java programs. Our results demonstrate that our solution successfully eliminates the timing and cache side-channel leaks while incurring significantly lower performance overhead than existing approaches.

研究の動機と目的

• 最小限のパフォーマンスコストで、ローカルおよびリモートのタイミングおよびキャッシュ側信道攻撃の両方に対するソフトウェアの保護を実現すること。
• 低レベルのアセンブリ言語やカスタムハードウェアを必要とせず、プログラミング言語やハードウェアアーキテクチャに跨る移植性を持つ防御を構築すること。
• 静的コード変換や攻撃的なキャッシュフラッシュなどの既存の解決策と比較して、パフォーマンスオーバーヘッドを低減すること。
• Javaのような言語におけるランタイム最適化や、プロセッサのタイミング特性のばらつきが存在する状況でも、セキュリティを保証すること。
• 最小限のソースコード変更とOSレベルのサポートのみを要する実用的でアプリケーションレベルの解決策を提供すること。

提案手法

• 機密データを処理する関数を特定・隔離するために、プログラマーが定義するアノテーションを用いることで、保護の範囲を制限する。
• 機密依存および機密非依存のタイミング変動を分離し、パディングを適用するのは前者に限定することで、漏洩を回避する。
• 既存のOSスケジューラーやハードウェア機能（例：メモリ階層）を活用し、保護された関数の実行を信頼できないプロセスから隔離する。
• 粗粒度のプリミティブを用いた安全な遅延ループ機構を設計し、遅延自体にタイミング漏洩を生じさせない。
• 共有ハードウェアリソース（例：キャッシュ、分岐予測器）を、信頼できないプロセスに切り替える際のみクリアする遅延クリーニング戦略を実装することで、オーバーヘッドを低減する。
• Linuxカーネルに統合して、システムレベルで隔離とタイミング独立性を強制する。

実験結果

リサーチクエスチョン

• RQ1 最小限のパフォーマンスオーバーヘッドで、ローカルおよびリモートのタイミングおよびキャッシュ側信道攻撃の両方を防げる防御を構築できるか？
• RQ2 パディング自体に新たなサイドチャnelを生じさせないよう、安全にパディングを適用する方法は何か？
• RQ3 低レベルやアーキテクチャ固有の変更を必要とせず、複数のプログラミング言語やハードウェアプラットフォームに跨るソリューションを設計できるか？
• RQ4 共有ハードウェアリソースからの強い隔離を維持しつつ、機密関数を保護する際のパフォーマンスコストはどの程度か？
• RQ5 既存のOSおよびハードウェア機能をどのように活用すれば、カスタムまたは侵入的な変更の必要を最小限に抑えられるか？

主な発見

• 提案された防御により、SSL/TLSサーバーにおいて、すべての既知のタイミングおよびキャッシュ側信道攻撃に対する全状態マシンの保護が行われた場合、パフォーマンスオーバーヘッドが5%未満にまで低減された。
• C、C++、Javaプログラムにおいて、最小限のソースコード変更でタイミングおよびキャッシュ側信道漏洩が完全に排除された。
• 遅延クリーニング戦略により、各機密関数呼び出し後に即座に状態をクリアする手法と比較して、大幅なオーバーヘッド低減が達成された。
• 安全な遅延ループ機構により、遅延プリミティブ自体に漏洩を生じさせないことが確認され、これは単純な実装でよく見られる脆弱性である。
• JVMにおけるランタイム最適化が存在する環境でも、本手法は効果的であるのに対し、過去のアプローチはそのような環境では失敗することが判明した。
• 本手法はアーキテクチャの違いに対して頑健であり、異なるプロセッサモデルやスケジューリング動作に対しても破綻しない。