[論文レビュー] Warding off timing attacks in Deterland.

Weiyi Wu, E Zhai+4 more|arXiv (Cornell University)|Apr 27, 2015

Security and Verification in Computing参考文献 52被引用数 9

ひとこと要約

本稿では、クラウド環境におけるタイミングチャネル攻撃を防ぐために、仮想化ホストが時間の決定的ビューを強制し、I/O操作のペーシングを制御することで情報漏洩れを制限する、仮想化ホストによるタイミング緩和技術を提案する。プロトタイプは、Linuxのようなスケールの大きなオペレーティングシステムや任意のアプリケーションにおいて、情報漏洩れを効果的に緩和でき、性能コストを調整可能にしている。

ABSTRACT

The massive parallelism and resource sharing embodying today's cloud business model not only exacerbate the security challenge of timing channels, but also undermine the viability of defenses based on resource partitioning. This paper proposes hypervisor-enforced timing mitigation to control timing channels in cloud environments. This approach closes reference clocks internal to the cloud by imposing a deterministic view of time on guest code, and uses timing mitigators to pace I/O and rate-limit potential information leakage to external observers. Our prototype hypervisor implementation is the first system that can mitigate timing-channel leakage across full-scale existing operating systems such as Linux and applications written in arbitrary languages. Mitigation incurs a varying performance cost, depending on workload and tunable leakage-limiting parameters, but this cost may be justified for security-critical cloud applications and data.

研究の動機と目的

• 巨大な並列処理とリソース共有が進むクラウド環境におけるタイミングチャネルの脅威の増大に対処すること。
• 共有クラウドインfraストラクチャにおいて伝統的なリソースパーティショニング防御の限界を克服すること。
• タイミングの決定的制御とI/Oペーシング制御を実現する仮想化ホストレベルのソリューションを設計および実装すること。
• ゲストオペレーティングシステムやアプリケーションの変更なしに、既存のものと互換性を保つこと。

提案手法

• 仮想化ホスト内に埋め込まれたリファレンスクロックを閉じることで、クラウド全体における時間の決定的ビューを強制する。
• I/O操作の発生レートとタイミングを制御するためのタイミング緩和メカニズムを用いることで、情報漏洩れを低減する。
• Linuxを含むゲストオペレーティングシステム全体に均一に適用され、ゲストの変更を必要としない。
• ワークロード要件に応じて、漏洩制限パラメータを調整することで、セキュリティとパフォーマンスのバランスを取る。
• 仮想化ホストに直接統合することで、すべてのゲストワークロードに低レベルでの強制を保証する。

実験結果

リサーチクエスチョン

• RQ1 仮想化ホストレベルのアプローチは、変更のない多様なゲストオペレーティングシステムおよびアプリケーションにおいて、タイミングチャネルの漏洩を効果的に緩和できるか？
• RQ2 異なるワークロードおよび漏洩制限設定における、緩和処理のパフォーマンスオーバーヘッドはどのように変化するか？
• RQ3 リソースパーティショニングに依存せずに、タイミングチャネルをどれほど効果的に閉じられるか？（特に高並列なクラウド環境では、リソースパーティショニングは効果を示さない。）
• RQ4 強力なタイミング隔離を実現しながら、既存のソフトウェアスタックとの互換性を維持できるか？

主な発見

• プロトタイプは、Linuxのようなスケールの大きな既存のオペレーティングシステムや、任意のプログラミング言語で書かれたアプリケーションにおいて、タイミングチャネルの漏洩を効果的に緩和できた。
• 緩和処理のパフォーマンスコストは、ワークロードの特性や設定された漏洩制限パラメータに応じて変動し、調整可能である。
• 内部リファレンスクロックの閉鎖が有効であり、外部の観測者がタイミング側信道を通じて機密情報を推測できないようにした。
• ゲストオペレーティングシステムやアプリケーションの変更を一切必要としないため、広範な互換性が実現された。