[논문 리뷰] Enclave-Aware Compartmentalization and Secure Sharing with Sirius

Zahra Tarkhani, Anil Madhavapeddy|arXiv (Cornell University)|2020. 09. 03.

Security and Verification in Computing참고 문헌 70인용 수 4

한 줄 요약

Sirius는 TEE 지원 응용 프로그램에서 강력한 격리와 안전한 공유를 보장하기 위해 커널 오브젝트(예: 스레드, 파일, 소켓)를 통해 데이터 플로우를 제어하는 새로운 분할 아키텍처 프레임워크이다. 이는 보안 세계와 일반 세계 양쪽에서 스레드, 파일, 소켓 등의 커널 오브젝트를 대상으로 액세스 제어를 시행함으로써 TEE의 의미적 격차를 제거하고, 공격 표면을 줄이며 평균 10.8%의 오버헤드로 보안을 향상시킨다. 기존 TEE 응용 프로그램에서는 성능 향상이 0.05%~5.6%에 이르렀다.

ABSTRACT

Hardware-assisted trusted execution environments (TEEs) are critical building blocks of many modern applications. However, they have a one-way isolation model that introduces a semantic gap between a TEE and its outside world. This lack of information causes an ever-increasing set of attacks on TEE-enabled applications that exploit various insecure interactions with the host OSs, applications, or other enclaves. We introduce Sirius, the first compartmentalization framework that achieves strong isolation and secure sharing in TEE-assisted applications by controlling the dataflows within primary kernel objects (e.g. threads, processes, address spaces, files, sockets, pipes) in both the secure and normal worlds. Sirius replaces ad-hoc interactions in current TEE systems with a principled approach that adds strong inter- and intra-address space isolation and effectively eliminates a wide range of attacks. We evaluate Sirius on ARM platforms and find that it is lightweight ($\approx 15K$ LoC) and only adds $\approx 10.8\%$ overhead to enable TEE support on applications such as httpd, and improves the performance of existing TEE-enabled applications such as the Darknet ML framework and ARM's LibDDSSec by $0.05\%-5.6\%$.

연구 동기 및 목표

• 신뢰할 수 없는 호스트 환경과의 상호작용으로 인한 다양한 공격을 방지하기 위해 신뢰 실행 환경(TEEs)과 그들의 비신뢰할 수 있는 호스트 환경 사이의 의미적 격차를 해소하기 위해.
• OS 기반 기능을 통한 불안전한 스레딩, 메모리 손상, 권한 상승 등의 일반적인 취약점을 제거하기 위해.
• 보안 세계와 일반 세계 양쪽에서 강력한 격리와 안전한 공유를 위한 원칙적이고 조합 가능한 메커니즘을 제공하기 위해.
• TEE 인터페이스에 대한 수동적이고 실수하기 쉬운 보안 강화에 의존하는 것을 줄이기 위해 커널 오브젝트 수준에서의 액세스 제어를 시행하기 위해.
• 최소한의 성능 영향과 광범위한 TEE 플랫폼 호환성을 갖춘 다중 스레드 TEE 응용 프로그램을 안전하게 지원하기 위해.

제안 방법

• Sirius는 보안 세계와 일반 세계 양쪽에서 스레드, 메모리 영역, 파일, 소켓 등의 커널 오브젝트에 대한 액세스 제어 정책을 시행하는 인터 모듈 제어(IMC) 메커니즘을 도입한다.
• mm_struct와 task_struct에 IMC 메타데이터를 확장하여 각 오브젝트의 작업 비트맵(읽기, 왤기, 실행, 할당)과 상태 추적 기능을 포함한다.
• 모든 시스템 호출 또는 권한 전환 시점에 IMC 권한을 검사함으로써 데이터 플로우 제어를 시행하여 허가된 운영만 허용한다.
• 기존의 TEE 하드웨어 격리(예: ARM TrustZone, Intel SGX)를 활용하면서도, 시스템 자원에 대한 강제 액세스 제어 계층을 추가한다.
• 공유 메모리, RPC, IPC 기반 정책 기반 공유를 시행함으로써 보안 인트레인트 간 및 프로세스 간 통신을 지원한다.
• 전체 구현은 약 15K 행의 코드로 경량이며, ARM 및 x86-64와 같은 다양한 TEE 플랫폼 간 이식성이 뛰어나다.

실험 결과

연구 질문

• RQ1 어떻게 TEE와 그 호스트 환경 간의 의미적 격차를 해소하여 불안전한 상호작용을 통한 공격을 방지할 수 있는가?
• RQ2 보안 세계와 일반 세계 양쪽에서 커널 오브젝트를 대상으로 강력하고 세밀한 격리 및 안전한 공유를 보장하기 위한 메커니즘은 무엇인가?
• RQ3 원칙적이고 조합 가능한 액세스 제어 프레임워크는 금전적 성능 비용이 크지 않은 한도에서 TEE 응용 프로그램의 공격 표면을 줄일 수 있는가?
• RQ4 제안된 IMC 기반 액세스 제어 모델은 TOCTTOU, ROP, BOOMERANG 공격과 같은 실제 TEE 취약점을 얼마나 효과적으로 완화하는가?
• RQ5 Sirius는 최소한의 수정으로 기존 TEE 스택에 얼마나 잘 통합될 수 있는가?

주요 결과

• Sirius는 스레드, 파일, 공유 메모리 등의 커널 오브젝트에 강제 액세스 제어를 시행함으로써 TEE 응용 프로그램의 공격 표면을 줄였다.
• httpd와 같은 응용 프로그램에 TEE 지원을 활성화할 경우 평균 약 10.8%의 성능 오버헤드만 추가되었으며, 시스템 수준 성능에 미치는 영향은 최소한이었다.
• 기존의 TEE 지원 응용 프로그램인 Darknet과 LibDDSSec는 공격 표면 감소와 최적화된 데이터 플로우 제어 덕분에 성능 향상이 0.05%~5.6%에 이르렀다.
• 전체 시스템은 약 15K 행의 코드로 경량이며, Intel SGX나 RISC-V Keystone과 같은 다른 TEE 플랫폼으로의 확장도 용이하다.
• Sirius는 커널 오브젝트 수준에서 엄격한 격리와 액세스 제어를 시행함으로써 알려진 공격 유형인 TOCTTOU, ROP, BOOMERANG, HPE를 효과적으로 완화하였다.
• 이 프레임워크는 메모리 태깅 및 CHERI와 같은 하드웨어 기능과 같은 현대 CPU 기능과도 호환되어 향후 보안 강화 확장을 지원한다.