[論文レビュー] StreamBox-TZ: Secure Stream Analytics at the Edge with TrustZone

Heejin Park, Shuang Zhai+2 more|arXiv (Cornell University)|Aug 2, 2018

Security and Verification in Computing参考文献 77被引用数 5

ひとこと要約

StreamBox-TZ (SBT) は、ARM TrustZone を活用して、機密性の高いデータと計算を信頼実行環境 (TEE) で隔離する、エッジプラットフォーム向けの安全なストリーム分析エンジンです。機密性と整合性を保証するとともに、140 MB/sec（1200万件/秒）の高い処理性能を達成し、1秒未満の遅延を実現しています。また、25%未満のオーバーヘッドで、信頼できるコンピューティング基盤（TCB）にわずか42.5 KBの追加しかありません。

ABSTRACT

While it is compelling to process large streams of IoT data on the cloud edge, doing so exposes the data to a sophisticated, vulnerable software stack on the edge and hence security threats. To this end, we advocate isolating the data and its computations in a trusted execution environment (TEE) on the edge, shielding them from the remaining edge software stack which we deem untrusted. This approach faces two major challenges: (1) executing high-throughput, low-delay stream analytics in a single TEE, which is constrained by a low trusted computing base (TCB) and limited physical memory; (2) verifying execution of stream analytics as the execution involves untrusted software components on the edge. In response, we present StreamBox-TZ (SBT), a stream analytics engine for an edge platform that offers strong data security, verifiable results, and good performance. SBT contributes a data plane designed and optimized for a TEE based on ARM TrustZone. It supports continuous remote attestation for analytics correctness and result freshness while incurring low overhead. SBT only adds 42.5 KB executable to the TCB (16% of the entire TCB). On an octa core ARMv8 platform, it delivers the state-of-the-art performance by processing input events up to 140 MB/sec (12M events/sec) with sub-second delay. The overhead incurred by SBT's security mechanism is less than 25%.

研究の動機と目的

• 信頼できないソフトウェアスタックを有する信頼性の低いエッジプラットフォームで、機密性の高い IoT テレメトリデータを処理する際のセキュリティリスクに対処する。
• TEE を通じて、最小限の信頼できるコンピューティング基盤（TCB）内で、重要なデータと分析ワークロードを隔離し、信頼できないソフトウェアコンponent からの露出を防ぐ。
• 限られたリソース、特に制限された物理メモリと小さな TCB を備えた TEE 内で、高スルーレート・低遅延のストリーム処理を実現する。
• 信頼できないエッジコンponent が存在する状況でも、分析出力の正しさと新鮮さを保証するため、継続的なリモート証明と結果検証を可能にする。
• ARM TrustZone 向けに特化した新しいデータ構造と低レベルのシステム最適化を用いて、TEE 内でのパフォーマンスを最適化する。

提案手法

• 信頼できないソフトウェアにのみ狭い、共有なしインターフェースを公開する TEE 内にデータプレーンをアーキテクチャ設計し、すべての分析データ、信頼できるプリミティブ、および重要なランタイム関数をカプセル化する。
• TEE でオンデマンドページングをバックエンドとする連続的で仮想的に無限大のバッファである uArrays と呼ばれる新しい抽象化を実装し、信頼できないコンponent からのヒントを活用する専用アロケータで管理する。
• 配列ベースのアルゴリズムと手書きの ARMv8 ベクトル命令を用いてパフォーマンスを最適化し、一般的なメモリアロケータへの依存度を低減する。
• 分析の正しさと結果の新鮮さを保証する継続的リモート証明を導入し、アップリンク帯域幅を削減するため、監査記録を圧縮する。
• スレッドスケジューリングや同期処理を TEE から除外することで TCB を最小限に抑える。信頼できるコードは必須コンponent のみに限定する。
• uArrays のオンデマンド成長を活用して、高スルーレートのストリーム処理中に発生する動的メモリ要件を効率的に管理し、std::vector などの標準コンテナーよりも優れた性能を発揮する。

実験結果

リサーチクエスチョン

• RQ1 限られた信頼できるコンピューティング基盤（TCB）と物理メモリ使用量で、エッジプラットフォーム上に TEE を用いて高スルーレートのストリーム分析ワークロードを安全に隔離する方法は何か？
• RQ2 TEE のパフォーマンス制限を考慮した上で、低遅延・高スルーレートのストリーム処理を実現するために必要なシステムレベルの最適化は何か？
• RQ3 信頼できるコンponent と信頼できないコンponent が処理に参加する状況でも、分析の正しさと結果の新鮮さを継続的かつリモートで検証する方法は何か？
• RQ4 限られたメモリを備えた TEE で、動的かつ高スルーレートのデータストリームを効果的に管理するための、新しいデータ構造とメモリ管理技術は何か？
• RQ5 実際のエッジ展開において、強力なセキュリティ保証を維持しつつ、パフォーランスのオーバーヘッドをどの程度まで抑えることができるか？

主な発見

• SBT は、オクタコア ARMv8 プラットフォーム上で最大 140 MB/sec（1200万件/秒）のスルーレートを達成し、TEE を用いたストリーム分析分野で最先端のパフォーマンスを示した。
• SBT のセキュリティメカニズムは、非セキュアなベースラインと比較して 25% 未満のオーバーヘッドに抑えられており、リアルタイムのエッジワークロードに実用的である。
• TCB は実行可能コードとしてわずか 42.5 KB（全 TCB の 16%）にまで縮小され、フルスタック TEE 移行と比較して攻撃表面が著しく削減された。
• ヒントなしで最大 35% のメモリ使用量増加を示す専用アロケータにより、uArrays はヒントのない状況下でも、std::vector よりも 4 倍の性能を発揮した。これは、TEE 内でのアロケーションとページングが高速であるため、動的データストリームの効率的処理が可能であることを示している。
• 監査記録の圧縮により、アップリンク帯域幅使用量が 5 倍から 6.7 倍まで削減され、2–40 KB/sec の節約が達成された。これは、分析結果のサイズが 144–400 バイト/秒と非常に小さいことを考慮すると、顕著な効果である。
• uArrays の専用アロケータは、ヒントなしで最大 35% のメモリ使用量増加を示した。これは、最適なメモリ利用効率を実現するためのコンponent 間の連携の重要性を示している。