[論文レビュー] uTango: an open-source TEE for the Internet of Things.

Daniel Oliveira, Tiago Gomes+1 more|arXiv (Cornell University)|Feb 6, 2021

Security and Verification in Computing参考文献 43被引用数 4

ひとこと要約

uTango は、IoT デバイス向けに、TrustZone-M ハードウェアを活用して通常世界内に複数の隔離され、同等のセキュリティを備えた実行環境を構築する、最初のマルチワールド Trusted Execution Environment (TEE) である。既存の TEE のアーキテクチャ上の欠陥を是正するため、TrustZone のプリミティブを再利用してセキュリティと拡張性を向上させた。実装は Arm Musca-B1 で検証され、広範な採用を促進するためのオープンソース化を計画中である。

ABSTRACT

Security is one of the main challenges of the Internet of Things (IoT). IoT devices are mainly powered by low-cost microcontrollers (MCUs) that typically lack basic hardware security mechanisms to separate security-critical applications from less critical components. Recently, Arm has started to release Cortex-M MCUs enhanced with TrustZone technology (i.e., TrustZone-M), a system-wide security solution aiming at providing robust protection for IoT devices. Trusted Execution Environments (TEEs) relying on TrustZone hardware have been perceived as safe havens for securing mobile devices. However, for the past few years, considerable effort has gone into unveiling hundreds of vulnerabilities and proposing a collection of relevant defense techniques to address several issues. While new TEE solutions built on TrustZone-M start flourishing, the lessons gathered from the research community appear to be falling short, as these new systems are trapping into the d\'ej\`a vu pitfalls of the past. In this paper, we present uTango, the first multi-world TEE for modern IoT devices. uTango proposes a novel architecture aiming at tackling the major architectural deficiencies currently affecting TrustZone(-M)-assisted TEEs. In particular, we leverage the very same TrustZone hardware primitives used by dual-world implementations to create multiple, equally-secure execution environments within the normal world. We demonstrate the benefits of uTango by conducting an extensive evaluation on a real TrustZone-M hardware platform, i.e., Arm Musca-B1. uTango will be open-sourced and freely available on GitHub in hopes of engaging academia and industry on securing the foreseeable trillion IoT devices.

研究の動機と目的

• 低価格の IoT マイコン（MCU）に実装された堅牢なハードウェアセキュリティ機構の欠如に対処すること。
• 従来の脆弱性を繰り返す既存の TrustZone-M ベース TEE のアーキテクチャ上の欠陥を克服すること。
• TrustZone ハードウェアプリミティブを用いて、通常世界内に複数の同等のセキュアな実行環境を構築すること。
• 1兆台のデバイスを想定した IoT エコシステムに特化したスケーラブルで拡張可能な TEE ソリューションを提供すること。
• GitHub での uTango のオープンソース化を通じて、学術界と産業界の協働を促進すること。

提案手法

• 二重世界の隔離を超えて、複数のセキュアワールドをサポートする、TrustZone-M 機能を拡張した新規 TEE アーキテクチャの設計。
• 新しいハードウェア機能を必要とせず、既存の TrustZone ハードウェアプリミティブ（例：セキュアメモリ領域、例外処理）を活用すること。
• 通常世界を複数の隔離された実行環境に分割し、それぞれが同等のセキュリティ保証を受けるようにすること。
• 通常世界内のセキュアワールドとシステムリソースとの間のアクセスを仲介するセキュアワールドマネージャーの実装。
• 既存の TrustZone-M ソフトウェアスタックおよび既存の MCU ファームウェアエコシステムとの後方互換性を確保すること。
• 実際の Arm Musca-B1 プラットフォーム上で設計を評価し、セキュリティとパフォーマンスのトレードオフを検証すること。

実験結果

リサーチクエスチョン

• RQ1 TrustZone-M ハードウェアプリミティブのみを用いて、通常世界内に複数の隔離され、同等のセキュリティを備えた実行環境を構築できるか？
• RQ2 提案されたマルチワールド TEE アーキテクチャは、従来の二重世界 TEE に知られているアーキテクチャ的欠陥をどのように是正するか？
• RQ3 実際の IoT ハードウェア上で、uTango は従来の二重世界 TEE と比較してどの程度のパフォーマンスオーバーヘッドを示すか？
• RQ4 uTango は、ハードウェア拡張を要せず、既存の MCU ファームウェアスタックにどの程度統合可能か？
• RQ5 uTango の設計は、将来の IoT セキュリティニーズに対応するための長期的メンテナンス性と拡張性をどのように向上させるか？

主な発見

• uTango は、TrustZone-M ハードウェアプリミティブのみを用いて、通常世界内に複数の隔離された実行環境を成功裏に構築した。
• 単一の特権を持つセキュアワールドを排除することで、従来の二重世界 TEE が抱えるセキュリティと複雑性の落とし穴を回避した。
• Arm Musca-B1 プラットフォームでの評価により、uTango が許容可能なパフォーマンスオーバーヘッドを伴いながらも、強固な隔離保証を維持することが確認された。
• 設計は既存の TrustZone-M ソフトウェアと後方互換性を保ち、既存の IoT エコシステムへの統合を容易にした。
• uTango のオープンソース化は、次世代の IoT デバイスを保護するための研究および産業界の採用を加速すると予想される。
• マルチワールドモデルは、モノリシックなセキュアワールドと比較して、拡張性を向上させるとともに、攻撃面を縮小した。