[논문 리뷰] From MMU to MPU: adaptation of the Pip kernel to constrained devices

Nicolas Dejon, Chrystel Gaber외 1명|arXiv (Cornell University)|2023. 01. 11.

Security and Verification in Computing참고 문헌 15인용 수 5

한 줄 요약

이 논문은 MMU 기반에서 MPU 기반 메모리 보호로 공식적으로 검증된 Pip 마이크로커널을 적응시켜 제약 조건이 있는 임베디드 장치를 위한 안전하고 유연한 메모리 격리 커널인 Pip-MPU를 제안한다. 이는 공격 표면을 98% 감소시키고 특권 운영을 99% 감소시키는 강력한 보안 보장을 달성하며, 성능과 에너지 소비 오버헤드는 16%에 불과하며, nRF52840 플랫폼에서 플래시 메모리 10 kB 미만, RAM 550 B 미만을 사용한다.

ABSTRACT

This article presents a hardware-based memory isolation solution for constrained devices. Existing solutions target high-end embedded systems (typically ARM Cortex-A with a Memory Management Unit, MMU) such as seL4 or Pip (formally verified kernels) or target low-end devices such as ACES, MINION, TrustLite, EwoK but with limited flexibility by proposing a single level of isolation. Our approach consists in adapting Pip to inherit its flexibility (multiple levels of isolation) but using the Memory Protection Unit (MPU) instead of the MMU since the MPU is commonly available on constrained embedded systems (typically ARMv7 Cortex-M4 or ARMv8 Cortex-M33 and similar devices). This paper describes our design of Pip-MPU (Pip's variant based on the MPU) and the rationale behind our choices. We validate our proposal with an implementation on an nRF52840 development kit and we perform various evaluations such as memory footprint, CPU cycles and energy consumption. We demonstrate that although our prototyped Pip-MPU causes a 16% overhead on both performance and energy consumption, it can reduce the attack surface of the accessible application memory from 100% down to 2% and the privileged operations by 99%. Pip-MPU takes less than 10 kB of Flash (6 kB for its core components) and 550 B of RAM.

연구 동기 및 목표

• MMU 대신 MPU를 사용하는 저성능 임베디드 시스템에서의 다소 탄력적이고 공식적으로 검증된 메모리 격리의 부족을 해결한다.
• MMU를 갖추지 않은 자원이 제한된 장치(예: ARM Cortex-M)에서 다중 수준의 메모리 격리를 가능하게 한다.
• Pip 커널의 보안성과 조합 가능성의 이점을 유지하면서도 MPU 하드웨어 제약 조건에 맞게 이를 적응시킨다.
• 실제 임베디드 플랫폼에서의 접근 가능성과 효율성을 입증하고, 자원 및 성능 메트릭을 측정 가능한 방식으로 평가한다.

제안 방법

• 메모리 관리 유닛(MMU) 대신 메모리 보호 유닛(MPU)에서 작동하도록 Pip 마이크로커널의 공식적 검증 및 격리 모델을 적응시킨다.
• Pip의 다중 격리 수준을 MPU의 제한된 수의 메모리 영역과 권한으로 매핑하는 새로운 메모리 관리 추상화를 설계한다.
• 런타임 중 동적 메모리 영역 설정과 보호를 지원하기 위해 맞춤형 MPU 구성 메커니즘을 구현한다.
• 새로운 Pip-MPU 버전의 MPU 기반 메모리 격리 논리의 정확성을 공식 방법을 통해 검증한다.
• 실시간 임베디드 시스템(nRF52840)에 커널을 통합하여 성능, 메모리 프로필, 에너지 소비를 평가한다.
• 표준 워크로드를 사용하여 CPU 사이클, 에너지 소비, 공격 표면 감소를 측정하기 위해 벤치마크를 수행한다.

실험 결과

연구 질문

• RQ1 Pip 커널의 공식적 검증 및 다중 수준 격리 모델을 MPU 기반의 제약 조건이 있는 장치로 효과적으로 이식할 수 있는가?
• RQ2 MMU 기반 시스템과 비교했을 때 MPU 기반 격리는 어떤 성능 및 에너지 오버헤드를 유발하는가?
• RQ3 MPU 기반 격리는 응용 프로그램 메모리와 특권 운영의 공격 표면을 어느 정도 감소시킬 수 있는가?
• RQ4 저성능 MPU를 탑재한 장치에 공식적으로 검증된 커널을 구현할 때 실질적인 메모리 및 런타임 자원 제약은 무엇인가?
• RQ5 격리의 세밀함과 신뢰성 측면에서 Pip-MPU의 보안 모델은 기존의 경량 커널과 비교해 어떻게 다른가?

주요 결과

• Pip-MPU는 접근 가능한 응용 프로그램 메모리의 공격 표면을 100%에서 2%로 줄여 공격 노출을 98% 감소시켰다.
• 비격리 시스템과 비교해 특권 운영 수가 99% 감소하여 권한 상승의 잠재적 위험을 크게 줄였다.
• 커널은 플래시 메모리 10 kB 미만(핵심 컴포넌트 6 kB)과 RAM 550 B 미만을 소비하여 초저비용 장치에 적합하다.
• Pip-MPU의 성능 및 에너지 오버헤드는 비격리 기준 대비 16%에 불과하여 보안을 위한 수용 가능한 트레이드오프를 보여주었다.
• nRF52840 개발 키트에 대한 구현은 MPU 전용 플랫폼에서 공식적으로 검증된 다중 수준 격리 커널을 구현할 수 있음을 확인했다.
• 설계는 하드웨어 제약 조건에 맞게 적응하면서도 원래 Pip 커널의 조합 가능성과 공식적 검증의 이점을 성공적으로 유지했다.