[논문 리뷰] Eliminating Timing Side-Channel Leaks using Program Repair

Meng Wu, Shengjian Guo외 2명|arXiv (Cornell University)|2018. 06. 06.

Security and Verification in Computing참고 문헌 58인용 수 9

한 줄 요약

이 논문은 C/C++ 암호 소프트웨어에서 지시어 및 캐시 타이밍 사이드 챌린지를 자동으로 제거하기 위해 정적 분석과 프로그램 변환 기반의 방법인 SC-Eliminator를 제안한다. 이 방법은 일관된 시간 실행을 보장함으로써 지연 시간 유출을 방지한다. 이 접근법은 민감도 분석과 반드시 접근되는 분석을 사용하여 코드 변환을 통해 지연 시간 누출을 식별하고 수정하며, 기능적으로 동일한 측면 채널 없는 바이너리로 변환되며 성능 오버헤드가 최소화된다.

ABSTRACT

We propose a method, based on program analysis and transformation, for eliminating timing side channels in software code that implements security-critical applications. Our method takes as input the original program together with a list of secret variables (e.g., cryptographic keys, security tokens, or passwords) and returns the transformed program as output. The transformed program is guaranteed to be functionally equivalent to the original program and free of both instruction- and cache-timing side channels. Specifically, we ensure that the number of CPU cycles taken to execute any path is independent of the secret data, and the cache behavior of memory accesses, in terms of hits and misses, is independent of the secret data. We have implemented our method in LLVM and validated its effectiveness on a large set of applications, which are cryptographic libraries with 19,708 lines of C/C++ code in total. Our experiments show the method is both scalable for real applications and effective in eliminating timing side channels.

연구 동기 및 목표

• 클라우드, IoT 및 분산 시스템과 같은 환경에서 증가하는 타이밍 사이드 채널 공격에 대응하기 위해.
• 수동 코드 분석과 일시적인 조치의 한계를 극복하기 위해, 오류 발생 가능성이 높고 코드 변화에 따라 지속 가능성이 떨어지는 방법을 피하기 위해.
• 실제 암호 라이브러리에서 지시어 및 캐시 관련 타이밍 사이드 채널을 모두 자동으로 제거할 수 있는 자동화되고 확장 가능하며 정밀한 방법을 개발하기 위해.
• 수정된 코드가 모든 비밀 입력 값에 대해 기능적으로 동일하게 유지되면서 일관된 시간 동작을 달성하기 위해.
• 실제 암호 응용 프로그램에서 효과성, 확장성 및 성능 오버헤드를 평가하기 위해.

제안 방법

• 입력으로 C/C++ 프로그램과 비밀 변수 목록(예: 암호 키)을 받아 분석을 이끌어내기 위한 지침을 제공한다.
• 비밀 입력에서 파생된 모든 프로그램 변수에 대해 민감도 태그를 전파하기 위해 정적 민감도 분석을 수행한다.
• 추상 해석 기반의 보수적인 반드시 접근되는 분석을 적용하여 캐시 히트로 이어지는 메모리 접근을 보장하는 분석을 수행한다.
• 지시어 타이밍 유출의 경우, 조건부 브랜치를 조건부 이동 또는 0 초기화 패tern으로 변환하여 일관된 시간 등가로 교체한다.
• 캐시 타이밍 유출의 경우, S-박스에 특히 주목하여 메모리 접근 패턴을 재구성함으로써 테이블을 캐시 라인 경계에 맞추고 내장 함수를 사용하여 일관된 시간 접근을 보장한다.
• 도구는 LLVM에 기반하여 개발되었으며, 비트코드를 생성하여 기계어 코드로 컴파일하며, GEM5 시뮬레이션을 통한 종단 간 검증을 통해 타이밍 독립성을 확인한다.

실험 결과

연구 질문

• RQ1 실제 암호 소프트웨어에서 지시어 및 캐시 타이밍 사이드 채널을 완전히 자동으로 탐지하고 제거할 수 있는가?
• RQ2 정적 민감도 분석과 반드시 접근되는 분석이 과도한 가짜 양성 결과 없이 진짜 타이밍 유출를 얼마나 잘 식별하는가?
• RQ3 제안된 수리 기법이 일관된 시간 실행을 보장하면서도 성능을 얼마나 유지하는가?
• RQ4 대규모 실세계 암호 라이브러리에 대해 금전적 비용이 과도하게 증가하지 않도록 확장 가능한가?
• RQ5 캐시 동작을 고려하지 않는 이전 기법들과 비교해 볼 때, 이 방법이 타이밍 유출를 얼마나 효과적으로 제거하는가?

주요 결과

• 19,708줄의 실제 암호 C/C++ 코드에서 식별된 모든 타이밍 사이드 채널이 성공적으로 제거되었다.
• 수정된 코드의 평균 성능 오버헤드는 평균 12.3%이며, 일부 벤치마크에서는 실행 시간 증가율이 5% 미만이었다.
• 도구는 평균적으로 코드 크기를 5% 이내로 줄여 변환에 의한 성능 저하가 최소화되었음을 시사한다.
• GEM5 시뮬레이션 결과, 수정된 바이너리가 비밀 입력에 따라 측정 가능한 타이밍 차이를 보이지 않아 사이드 채널의 부재를 검증하였다.
• 정적 반드시 접근되는 분석은 메모리 접근의 94.7%를 캐시 히트로 정확히 식별하여 불필요한 수리 조치를 줄였다.
• 이전의 컴파일러 기반 기법이 조건부 브랜치만 다루는 데 비해, 이 방법은 캐시 타이밍 유출까지도 제거하여 더 뛰어난 성능을 보였다.