[논문 리뷰] bpftime: userspace eBPF Runtime for Uprobe, Syscall and Kernel-User Interactions

Yusheng Zheng, Tong Yu외 4명|arXiv (Cornell University)|2023. 11. 14.

Security and Verification in Computing인용 수 4

한 줄 요약

bpftime는 커널 컨텍스트 스위치 없이 프로그래밍 가능한 uprobe 및 시스템콜 훅을 가능하게 하는 고성능 사용자 공간 eBPF 런타임이며, 바이너리 리라이팅을 사용하여 커널 eBPF보다 10배 이상 빠른 성능을 달성한다. 기존 프로세스에 대한 런타임 인젝션을 지원하며, clang/libbpf와의 호환성을 유지하고, 프로세스 간 통신을 위한 공유 메모리 eBPF 맵을 제공한다.

ABSTRACT

In kernel-centric operations, the uprobe component of eBPF frequently encounters performance bottlenecks, largely attributed to the overheads borne by context switches. Transitioning eBPF operations to user space bypasses these hindrances, thereby optimizing performance. This also enhances configurability and obviates the necessity for root access or privileges for kernel eBPF, subsequently minimizing the kernel attack surface. This paper introduces bpftime, a novel user-space eBPF runtime, which leverages binary rewriting to implement uprobe and syscall hook capabilities. Through bpftime, userspace uprobes achieve a 10x speed enhancement compared to their kernel counterparts without requiring dual context switches. Additionally, this runtime facilitates the programmatic hooking of syscalls within a process, both safely and efficiently. Bpftime can be seamlessly attached to any running process, limiting the need for either a restart or manual recompilation. Our implementation also extends to interprocess eBPF Maps within shared memory, catering to summary aggregation or control plane communication requirements. Compatibility with existing eBPF toolchains such as clang and libbpf is maintained, not only simplifying the development of user-space eBPF without necessitating any modifications but also supporting CO-RE through BTF. Through bpftime, we not only enhance uprobe performance but also extend the versatility and user-friendliness of eBPF runtime in user space, paving the way for more efficient and secure kernel operations.

연구 동기 및 목표

• 컨텍스트 스위치로 인한 커널 기반 eBPF uprobe 실행의 성능 저하 문제를 해결한다.
• 커널에서 eBPF 실행을 사용자 공간으로 이동시켜 커널 공격 표면을 줄이고, root 권한이 필요 없도록 한다.
• 재시작이나 재컴파일 없이도 기존 프로세스에 동적으로 런타임에 eBPF 프로그램을 부착할 수 있도록 한다.
• 프로그램 기반 시스템콜 추적과 프로세스 간 통신 및 데이터 집계를 위한 공유 메모리 eBPF 맵을 지원한다.
• 기존 eBPF 툴체인(Clang, libbpf)과 BTF를 통한 CO-RE를 통해 커널 eBPF에서의 수정 없이 마이그레이션 가능성을 보장한다.

제안 방법

• LLVM의 JIT/AOT 컴파일 기능을 활용하여 사용자 공간에서 eBPF 프로그램의 고성능 실행을 구현한다.
• 소스 코드 없이도 재컴파일 없이도 런타임에 바이너리 리라이팅을 사용하여 대상 프로세스를 uprobe 및 시스템콜 훅을 위해 인스트루멘트한다.
• 사용자 공간에서 uprobe 의미 체계를 효율적으로 구현하기 위해 함수의 진입 및 종료 지점에 eBPF 트램폴린을 삽입하기 위해 고유의 바이너리 리라이팅 엔진을 사용한다.
• 사용자 공간 eBPF 프로그램 간 및 사용자 공간과 커널 eBPF 프로그램 간의 통신을 가능하게 하기 위해 공유 메모리 eBPF 맵을 도입한다.
• 프로세스 재시작 없이도 런타임에 eBPF 프로그램을 동적으로 부착할 수 있는 메커니즘을 통해 런타임 인젝션을 원활하게 지원한다.
• 커널 eBPF 맵과 BTF(BPF Type Format)를 유지하여 CO-RE 및 커널 eBPF 프로그램과의 상호운용성을 보장한다.

실험 결과

연구 질문

• RQ1 컨텍스트 스위치를 제거함으로써 사용자 공간 eBPF 런타임이 커널 기반 uprobe 실행보다 훨씬 낮은 오버헤드를 달성할 수 있는가?
• RQ2 커널에 관여하지 않고도 사용자 공간 eBPF에서 프로그래밍 기반 시스템콜 훅을 효율적이고 안전하게 구현할 수 있는가?
• RQ3 재컴파일 없이도 재시작 없이도 기존 프로세스에 eBPF 프로그램을 런타임에 부착하는 것이 가능한가?
• RQ4 사용자 공간 eBPF 런타임이 기존 eBPF 툴체인(Clang, libbpf 등)과 얼마나 높은 호환성을 유지할 수 있는가?
• RQ5 공유 메모리 eBPF 맵이 사용자 공간 eBPF 환경에서 효율적인 프로세스 간 통신 및 조율을 가능하게 할 수 있는가?

주요 결과

• bpftime는 커널 기반 eBPF보다 커널 컨텍스트 스위치 오버헤드를 제거함으로써 uprobe 실행에서 10배 이상의 성능 향상을 달성한다.
• 런타임에 프로세스 재시작 없이도 사용자 공간에서 프로그래밍 기반 시스템콜 추적과 uprobe 부착이 가능하다.
• bcc 툴세트의 eBPF 프로그램, 특히 uprobe 및 시스템콜 추적 예제는 bpftime에서 수정 없이도 정상 실행되며, 완전한 호환성을 입증한다.
• 공유 메모리 eBPF 맵은 프로세스 간 통신 및 데이터 집계를 성공적으로 지원하여 제어 평면 조율 등의 사용 사례를 가능하게 한다.
• 공유 맵을 통한 커널 eBPF 프로그램과의 통합을 통해 bpftime는 커널 eBPF 프로그램과의 원활한 통합을 지원하며, 커널 eBPF에서 로드될 수 있어 하이브리드 실행 모델을 가능하게 한다.
• 보안 측면에서 bpftime는 커널 공격 표면을 줄이고 사전에 격리된 사용자 공간 환경에서 작동하므로 커널 eBPF보다 보안 수준이 향상된다.