[논문 리뷰] A Secure Cloud with Minimal Provider Trust

Amin Mosayyebzadeh, Gerardo Ravago외 13명|OpenBU/Boston University Institutional Repository (Boston University)|2019. 07. 13.

Security and Verification in Computing참고 문헌 14인용 수 5

한 줄 요약

Bolted는 클라우드 제공자에 대한 최소한의 신뢰로 격리된, 확인 가능한 서버를 제공할 수 있는 바이트 메탈 클라우드 아키텍처를 제안한다. 하드웨어 기반 확인, 암호화된 네트워킹, 스토리지 암호화, 메모리 정리 기술을 결합함으로써 과거, 현재, 미래의 테넌트로부터의 보안을 확보하며, 비확인 시스템 대비 25%의 오버헤드로 안전하고 확장 가능한 프로비저닝을 실현한다.

ABSTRACT

Bolted is a new architecture for a bare metal cloud with the goal of providing security-sensitive customers of a cloud the same level of security and control that they can obtain in their own private data centers. It allows tenants to elastically allocate secure resources within a cloud while being protected from other previous, current, and future tenants of the cloud. The provisioning of a new server to a tenant isolates a bare metal server, only allowing it to communicate with other tenant's servers once its critical firmware and software have been attested to the tenant. Tenants, rather than the provider, control the tradeoffs between security, price, and performance. A prototype demonstrates scalable end-to-end security with small overhead compared to a less secure alternative.

연구 동기 및 목표

• 가상화 및 바이트 메탈 클라우드의 보안 한계를 해결하기 위해 테넌트가 제공자에 대해 완전한 신뢰가 필요로 하는 문제를 해결한다.
• 성능, 비용, 보호 수준 간의 보안 트레이드오프를 테넌트가 제어할 수 있도록 한다.
• 하드웨어 및 소프트웨어 격리 기술을 통해 펌웨어 공격, 사이드채널 누출, 이전 테넌트의 데이터 잔류물로부터의 보호를 실현한다.
• Heads와 Keylime와 같은 오픈소스 및 재현 가능한 컴포넌트를 통해 펌웨어 및 소프트웨어 무결성을 검증할 수 있도록 한다.
• 실세계 프로토타입을 통해 안전하고 확장 가능한 프로비저닝이 낮은 성능 오버헤드로 가능하다는 것을 입증한다.

제안 방법

• Bolted는 서버 프로비저닝을 허용하기 전에 펌웨어 및 소프트웨어 무결성을 검증하기 위해 하드웨어 기반 원격 확인을 사용한다.
• 네트워크 격리 및 엔드 투 엔드 암호화를 통해 테넌트 서버 간 통신을 보호한다.
• 스토리지 암호화와 메모리 정리 기술을 통해 이전 테넌트의 데이터 泄露를 방지한다.
• 재현 가능한 빌드를 통해 자체 측정 기능을 수행하는 커스터마이징된 리눅스 기반 펌웨어(Heads)를 사용한다.
• Keylime은 확인 및 키 관리를 담당하며, M2와 HIL은 서버 라이프사이클 및 하드웨어 격리를 관리한다.
• 테넌트는 제공자에 의해 배포된 서비스를 신뢰할 수도 있고, 자체 서비스를 배포할 수도 있어 다양한 보안 트레이드오프를 선택할 수 있다.

실험 결과

연구 질문

• RQ1 클라우드 시스템이 제공자에 대한 테넌트 신뢰를 최소화하면서도 사설 데이터센터와 동일한 보안 보장을 제공할 수 있는가?
• RQ2 클라우드 시스템은 어떻게 이전, 동시, 미래의 테넌트로부터의 공격으로부터 테넌트를 보호할 수 있는가?
• RQ3 실세계 프로토타입에서 엔드 투 엔드 확인 및 안전한 프로비저닝의 성능 오버헤드는 얼마나 되는가?
• RQ4 오픈소스 및 재현 가능한 펌웨어와 하드웨어 기반 확인의 조합이 낮은 복잡성으로 강력한 보안을 달성할 수 있는가?
• RQ5 최소한의 제공자 신뢰로 바이트 메탈 서버의 안전하고 확장 가능한 프로비저닝은 얼마나 스케일러블한가?

주요 결과

• Bolted는 약 8분 내로 16台의 서버로 구성된 안전한 에코넘을 프로비저닝하여 높은 확장성을 입증했다.
• 엔드 투 엔드 확인 프로세스는 비확인 시스템 대비 오직 25%의 오버헤드만을 추가한다.
• 기존의 UEFI 펌웨어를 대체하여 커스터마이징된 리눅스 기반 펌웨어(Heads)를 사용함으로써 프로비저닝 시간이 단축되고 재현 가능한 빌드를 통해 보안성이 향상된다.
• 프로토타입은 최적화된 펌웨어와 스토리지 백엔드를 사용할 경우 수십 대 또는 수백 대의 서버 프로비저닝이 5분 이내로 가능하다는 것을 보여준다.
• Keylime, Heads, HIL과 같은 오픈소스 컴포넌트의 사용은 투명성을 높이고 신뢰 컴퓨팅 기반(TCB)을 줄인다.
• 다층 보호 기반으로 펌웨어 해킹, 사이드채널 공격, 데이터 잔류 위험을 효과적으로 완화한다.