[논문 리뷰] BULKHEAD: Secure, Scalable, and Efficient Kernel Compartmentalization with PKS

Yinggang Guo, Zicheng Wang외 3명|arXiv (Cornell University)|2024. 09. 15.

Brain Tumor Detection and Classification인용 수 1

한 줄 요약

BULKHEAD는 Intel의 보호 키 for Supervisors(PKS)를 활용하여 무제한의 커널 컴partments 간에 双방향 격리(both-directional isolation)를 강제하는 보안성, 확장성, 효율성이 뛰어난 커널 컴partments화 시스템이다. 중요한 보안 인variant를 강제하기 위해 경량 내부 모니터를 사용하며, 160개의 컴partments화된 로드가능 커널 모듈을 포함한 실제 워크로드에서 평균 2.44%의 성능 오버헤드를 기록한다.

ABSTRACT

The endless stream of vulnerabilities urgently calls for principled mitigation to confine the effect of exploitation. However, the monolithic architecture of commodity OS kernels, like the Linux kernel, allows an attacker to compromise the entire system by exploiting a vulnerability in any kernel component. Kernel compartmentalization is a promising approach that follows the least-privilege principle. However, existing mechanisms struggle with the trade-off on security, scalability, and performance, given the challenges stemming from mutual untrustworthiness among numerous and complex components. In this paper, we present BULKHEAD, a secure, scalable, and efficient kernel compartmentalization technique that offers bi-directional isolation for unlimited compartments. It leverages Intel's new hardware feature PKS to isolate data and code into mutually untrusted compartments and benefits from its fast compartment switching. With untrust in mind, BULKHEAD introduces a lightweight in-kernel monitor that enforces multiple important security invariants, including data integrity, execute-only memory, and compartment interface integrity. In addition, it provides a locality-aware two-level scheme that scales to unlimited compartments. We implement a prototype system on Linux v6.1 to compartmentalize loadable kernel modules (LKMs). Extensive evaluation confirms the effectiveness of our approach. As the system-wide impacts, BULKHEAD incurs an average performance overhead of 2.44% for real-world applications with 160 compartmentalized LKMs. While focusing on a specific compartment, ApacheBench tests on ipv6 show an overhead of less than 2%. Moreover, the performance is almost unaffected by the number of compartments, which makes it highly scalable.

연구 동기 및 목표

• Linux와 같은 단일 커널 운영체제 커널의 취약점을 원칙적으로 완화할 긴급한 필요성을 해결한다.
• 기존의 커널 컴파트먼츠화 기법이 보안성, 확장성, 성능을 균형 있게 확보하지 못하는 한계를 극복한다.
• 비신뢰성 있는 컴파트먼트에서 신뢰성 있는 컴파트먼트로, 그리고 그 반대 방향의 공격을 모두 방지하기 위해 컴파트먼트 간에 상호 이중 격리(양방향 격리)를 가능하게 한다.
• 성능을 희생시키지 않으면서 커널 컴포넌트—특히 로드가능 커널 모듈(LKMs)에 대해 세밀하고 확장 가능한 컴파트먼츠화를 지원한다.
• 가상화나 마이크로커널 재설계의 복잡성과 오버헤드를 피하기 위해 일반적인 CPU 기능(PKS)을 활용한 실용적인 하드웨어 기반 솔루션을 제공한다.

제안 방법

• Intel의 보호 키 for Supervisors(PKS)를 활용하여 코드와 데이터를 상호 신뢰할 수 없는 컴파트먼트로 격리하고, 빠른 컴파트먼트 전환을 가능하게 한다.
• 내부 모니터를 통해 보안 인variant를 강제하며, 이는 데이터 무결성, 실행 전용 메모리, 컴파트먼트 인터페이스 무결성 등을 포함한다.
• 확장 가능한 두 단계 컴파트먼트 관리 체계를 도입하여 무제한의 컴파트먼트를 지원한다.
• Linux v6.1 기반 프로토타입을 통해 런타임 시 로드가능 커널 모듈(LKMs)을 자동으로 격리한다.
• PKS 기반의 권한 검증을 통해 소프트웨어 검사의 비용을 줄여 SFI나 PT-스위칭 기반 접근 방식보다 오버헤드를 감소시킨다.
• 가상화기반 또는 확장된 TCB에 의존하지 않기 위해 보안 강제 기능을 커널 내부에 직접 통합함으로써 신뢰 표면을 최소화한다.

실험 결과

연구 질문

• RQ1 하드웨어 지원 기반의 커널 컴파트먼츠화 메커니즘이 신뢰할 수 있는 코어 커널에 의존하지 않고도 강력한 이중 격리(양방향 격리)를 달성할 수 있는가?
• RQ2 성능 오버헤드가 금지 수준이 되지 않도록, 많은 수의 컴파트먼트를 지원할 수 있도록 커널 컴파트먼츠화를 어떻게 확장할 수 있는가?
• RQ3 PKS 기반 격리 기술이 단일 커널 환경에서 중요한 보안 인variant—예를 들어 컴파트먼트 인터페이스 무결성—을 효율적으로 강제할 수 있는가?
• RQ4 강력한 격리 보장을 유지하면서 수백 개의 커널 모듈을 컴파트먼츠화했을 때 실제 워크로드에서의 성능 영향은 어떠한가?
• RQ5 가상화, SFI, 마이크로커널과 같은 기존 솔루션과 비교해 보안성, 성능, 실용성 측면에서 본 솔루션의 성능은 어떠한가?

주요 결과

• 160개의 로드가능 커널 모듈이 컴파트먼츠화된 상태에서 실제 애플리케이션 워크로드에서 BULKHEAD는 평균 2.44%의 성능 오버헤드를 기록한다.
• ApacheBench를 사용한 IPv6 서브시스템 테스트와 같은 집중적 워크로드에서는 오버헤드가 2% 미만으로 나타나 높은 효율성을 입증한다.
• 컴파트먼트 수에 관계없이 오버헤드가 거의 일정하게 유지되며, 수평적 확장성의 우수함을 확인한다.
• 내부 모니터를 통해 컴파트먼트 인터페이스 무결성을 강제함으로써 혼란스러운 대리자 공격(confused deputy attacks)을 효과적으로 방지한다.
• SFI 기반 접근 방식에서 보이는 심각한 성능 저하(예: BGI의 30%의 처리량 감소)를 피하기 위해 PKS를 활용해 빠르고 하드웨어 가속된 권한 검증을 수행함으로써 오버헤드를 감소시킨다.
• Linux v6.1 기반 프로토타입 구현을 통해 커널에 최소한의 변경만으로도 LKM을 성공적으로 격리함으로써 실용적 구현 가능성을 입증한다.