[論文レビュー] Verifying RISC-V Physical Memory Protection

Kevin Cheang, Cameron Rasmussen+4 more|arXiv (Cornell University)|Nov 3, 2022

Security and Verification in Computing被引用数 6

ひとこと要約

この論文は、LIMEツールチェーンおよびUclid5検証フレームワークを用いて、Rocket ChipコアのRISC-V物理メモリ保護（PMP）ハードウェアモジュールを形式的に検証する。PMPCheckerモジュールのデフォルト設定下での関数的正しさが確立され、Keystone信頼実行環境（TEE）のセキュリティ保証を進める基盤的ステップとなり、RISC-V ISAに規定された通りにPMPがメモリアクセス権限を強制していることを保証する。

ABSTRACT

We formally verify an open-source hardware implementation of physical memory protection (PMP) in RISC-V, which is a standard feature used for memory isolation in security critical systems such as the Keystone trusted execution environment. PMP provides per-hardware-thread machine-mode control registers that specify the access privileges for physical memory regions. We first formalize the functional property of the PMP rules based on the RISC-V ISA manual. Then, we use the LIME tool to translate an open-source implementation of the PMP hardware module written in Chisel to the UCLID5 formal verification language. We encode the formal specification in UCLID5 and verify the functional correctness of the hardware. This is an initial effort towards verifying the Keystone framework, where the trusted computing base (TCB) relies on PMP to provide security guarantees such as integrity and confidentiality.

研究の動機と目的

• RISC-V Rocket ChipコアにおけるPMPハードウェアモジュールの関数的正しさを形式的に検証すること。これは、セキュリティに重要なシステムにおけるメモリ隔離に不可欠である。
• RISC-V ISAマニュアルに基づいてPMPルールを定義・検証することで、低レベルPMPハードウェアの形式的検証のギャップを埋めること。
• Keystone信頼実行環境の信頼性基盤（TCB）の検証の基盤を築くこと。ここではPMPが整合性および機密性を強制する中心的役割を果たす。
• 自動化されたツールチェーン（LIME、Uclid5）を用いて、Chisel/FIRRTLハードウェア記述を形式的に検証可能なモデルに変換する可能性を実証すること。

提案手法

• RISC-V ISAマニュアルに基づくPMP動作の形式的仕様化。アドレスマッチングと優先順位順序に基づき、読み取り、書き込み、実行権限のアクセスルールを定義する。
• Rocket ChipのPMPCheckerモジュールをChiselからFIRRTLに自動変換し、LIMEツールチェーンを介してUclid5に変換し、形式的検証を実施する。
• Uclid5におけるPMPアクセス制御論理のエンコード。3つの例外ケース（一致する領域なし、高プライベジモード、優先順位付きマッチング）の処理を含む。
• Z3ソルバを用いた1ステップ帰納法による検証。PMPCheckerがすべての有効なアドレスおよび設定入力に対して正しく権限を強制していることを検証する。
• 検証の複雑さを軽減しながら実用的用途における関数的正しさを維持するため、デフォルト設定に制限する。
• PMPCheckerモジュールに特化したモデル抽出およびモジュラー検証。TLBやPTWなどの他のシステムコンponentsから分離して検証を実施する。

実験結果

リサーチクエスチョン

• RQ1 Rocket ChipのPMPCheckerモジュールは、ISAマニュアルに規定されたRISC-V PMPアクセスルールを正しく強制しているか？
• RQ2 LIMEやUclid5のような自動化ツールチェーンは、セキュリティに重要な性質を有するRTLレベルのハードウェア設計を効果的に変換・検証できるか？
• RQ3 PMPの関数的正しさは、Keystoneのようなシステムにおけるメモリ隔離を保証するのに十分か、それ以上のコンponentsが必要か？
• RQ4 このパイプラインを用いた、実世界のRISC-Vハードウェアモジュールにおける形式的検証の性能およびスケーラビリティはいかほどか？

主な発見

• PMPCheckerモジュールは、デフォルト設定下でUclid5による1ステップ帰納法を用いた検証により、関数的に正しく動作することが確認された。
• 検証プロセスは、標準の2.6 GHz Intel Core i7マシン（16 GB RAM）で41.331秒で完了し、実用的実装可能性が示された。
• Chiselによる48行の実装が、Uclid5の1,125行のモデルに変換された。これにより、LIME-Uclid5パイプラインのスケーラビリティが裏付けられた。
• 形式的仕様は、3つの例外ケース（一致する領域なし、高プライベジモード、PMPエントリの優先順位付きマッチング）を正しくモデル化している。
• 検証結果により、PMPCheckerが、最も番号の小さいマッチングPMPエントリおよびその設定に基づき、正しく読み取り、書き込み、実行権限を計算していることが確認された。
• 本研究は、Keystone信頼実行環境のTCB全体の検証に向けた重要な第一歩を確立したが、今後はTLB、PTW、ソフトウェアコンponentsの統合が必要である。