[논문 리뷰] A Novel Scheduling Framework Leveraging Hardware Cache Partitioning for Cache-Side-Channel Elimination in Clouds

Read Sprabery, Konstantin Evchenko외 4명|arXiv (Cornell University)|2017. 08. 30.

Parallel Computing and Optimization Techniques인용 수 6

한 줄 요약

이 논문은 클라우드 환경에서 캐시 측면 채널 공격을 제거하기 위해 인텔의 캐시 할당 기술(CAT)을 활용하는 혁신적인 스케줄링 프레임워크를 제시한다. 하드웨어 캐시 분할, 동적 스케줄링 및 상태 정리 기법을 통합함으로써, 응용 프로그램 변경 없이도 SMT 비활성화 없이 KVM 기반 컨테이너 및 가상 머신에서 측면 채널 없는 실행을 달성한다.

ABSTRACT

While there exist many isolation mechanisms that are available to cloud service providers, including virtual machines, containers, etc., the problem of side-channel increases in importance as a remaining security vulnerability, particularly in the presence of shared caches and multicore processors. In this paper we present a hardware-software mechanism that improves the isolation of cloud processes in the presence of shared caches on multicore chips. Combining the Intel CAT architecture that enables cache partitioning on the fly with novel scheduling techniques and state cleansing mechanisms, we enable cache-side-channel free computing for Linux-based containers and virtual machines, in particular, those managed by KVM. We do a preliminary evaluation of our system using a CPU bound workload. Our system allows Simultaneous Multithreading (SMT) to remain enabled and does not require application level changes.

연구 동기 및 목표

• 공유 멀티코어 프로세서를 사용하는 다중 테넌시 클라우드 환경에서 증가하는 캐시 측면 채널 공격에 대응하기 위해.
• 컨테이너 및 가상 머신에서 실행되는 클라우드 워크로드의 격리 보장을 향상시키기 위해.
• Simultaneous Multithreading(SMT) 비활성화나 응용 프로그램 수정 없이도 안전한 실행을 가능하게 하기 위해.
• 실시간 보호를 위해 하드웨어 캐시 분할과 동적 스케줄링을 통합하기 위해.
• CPU 집약적 워크로드 평가를 통해 프레임워크의 실현 가능성과 효과성을 입증하기 위해.

제안 방법

• 런타임 시 가상 머신과 컨테이너 간에 L3 캐시를 분할하기 위해 인텔의 캐시 할당 기술(CAT)을 활용한다.
• 워크로드의 민감도와 격리 요구 사항을 기반으로 캐시 분할을 할당하는 혁신적인 스케줄링 프레임워크를 구현한다.
• 자원을 해제하기 전에 민감한 데이터를 캐시에서 삭제하기 위해 상태 정리 메커니즘을 적용한다.
• 캐시 격리를 투명하게 구현하기 위해 KVM 기반 가상화와 통합한다.
• 성능을 유지하기 위해 실행 중 SMT를 활성화한 채로 유지한다.
• 워크로드 행동에 따라 캐시 분할을 동적으로 조정하기 위해 런타임 모니터링 및 동적 할당을 활용한다.

실험 결과

연구 질문

• RQ1 하드웨어 캐시 분할과 지능적인 스케줄링을 조합하여 다중 테넌시 클라우드 환경에서 캐시 측면 채널 누출을 효과적으로 방지할 수 있는가?
• RQ2 SMT 비활성화나 응용 프로그램 수정 없이 캐시 격리를 어느 정도 달성할 수 있는가?
• RQ3 기본 설정 대비 CPU 집약적 워크로드에서 제안된 프레임워크는 어떤 성능을 보이는가?
• RQ4 동적 워크로드 스케줄링을 지원하면서도 강력한 격리 보장을 유지할 수 있는가?
• RQ5 상태 정리의 잔여 측면 채널 누출에 대한 영향은 무엇인가?

주요 결과

• 하드웨어 캐시 분할을 통해 KVM 기반 컨테이너 및 가상 머신에서 캐시 측면 채널 공격을 성공적으로 제거한다.
• 프레임워크는 SMT 功能을 유지하여 보안을 훼손하지 않으면서도 성능 이점을 그대로 유지한다.
• 응용 프로그램 수준의 수정이 필요 없어 기존 클라우드 스택에 원활하게 통합할 수 있다.
• 런타임 캐시 분할과 상태 정리로 효과적인 격리를 달성한다.
• 초기 평가를 통해 CPU 집약적 워크로드를 활용한 프레임워크의 실현 가능성을 확인한다.
• 인텔 CAT와의 통합을 통해 보다 향상된 보안을 위한 세밀하고 실시간 캐시 할당이 가능해진다.