[논문 리뷰] FVCARE:Formal Verification of Security Primitives in Resilient Embedded SoCs

Avani Dave, Nilanjan Banerjee외 1명|arXiv (Cornell University)|2023. 04. 22.

Security and Verification in Computing인용 수 4

한 줄 요약

FVCARE는 내장형 소형 시스템에서 안전 부팅 및 원격 진단을 위한 첫 번째 엔드 투 엔드 형식적 공동 검증 프레임워크를 제안한다. 이는 SMV를 통한 하드웨어 검증과 Frama-C 및 고유 플러그인(주장, LTL, 약점 예측)을 활용한 소프트웨어 검증을 결합한다. 5.6 KB 크기의 안전 부팅 구현체에 대해 기능 정합성과 보안 성질을 0.2초 이내로 완전히 검증한다.

ABSTRACT

With the increased utilization, the small embedded and IoT devices have become an attractive target for sophisticated attacks that can exploit the devices security critical information and data in malevolent activities. Secure boot and Remote Attestation (RA) techniques verifies the integrity of the devices software state at boot-time and runtime. Correct implementation and formal verification of these security primitives provide strong security guarantees and enhance user confidence. The formal verification of these security primitives is considered challenging, as it involves complex hardware software interactions, semantics gaps and requires bit-precise reasoning. To address these challenges, this paper presents FVCARE an end to end system co-verification framework. It also defines the security properties for resilient small embedded systems. FVCARE divides the end to end system co verification problem into two modules: 1) verifying the (bit precise) initial system settings, registers, and access control policies by hardware verification techniques, and 2) verifying the system specification, security properties, and functional correctness using source-level software abstraction of the hardware. The evaluation of proposed techniques on SRACARE based systems demonstrates its efficacy in security co verification.

연구 동기 및 목표

• 보안 핵심 내장 시스템에서 복잡한 하드웨어-소프트웨어 상호작용을 검증하는 데 도전하는 문제를 해결하기 위해.
• 소형 내장 및 IoT 기기에서 안전 부팅 및 원격 진단과 같은 보안 원시 기능을 형식적으로 검증하기 위해.
• 시스템 수준 보안 성질에 대해 종단 간 공동 검증이 부족한 기존 도구의 격차를 메우기 위해.
• 기능 정합성과 함께 초기 시스템 상태, 레지스터 설정 및 액세스 제어 정책의 비트 정밀도 검증을 가능하게 하기 위해.
• 내장 복구 기능과 강력한 보안 보장을 갖춘 SRACARE 기반 내성적 시스템에 대한 실용적 형식적 검증을 보여주기 위해.

제안 방법

• 시스템 검증을 두 부분으로 나누어, SMV 및 NuSMV를 사용한 초기 설정과 액세스 제어 정책의 하드웨어 검증을 수행한다.
• 하드웨어를 소프트웨어로 추상화하여 Frama-C를 활용한 하드웨어-소프트웨어 공동 검증을 수행한다.
• 세 가지 고유 플러그인을 사용한 Frama-C를 적용한다: 약점 예측(WP), 주장 확인, 선형 시간 논리(LTL) 검증.
• 시스템 레지스터 및 액세스 제어 정책의 보안 핵심 성질을 위한 형식적 하드웨어 검증을 위해 SystemVerilog 하드웨어 모듈을 SMV로 변환한다.
• 기능 정합성과 보안 성질 커버리지 확보를 위해 유한 모델 체킹 및 K-인덕션 기반 검증을 적용한다.
• 암호 코어의 하드웨어 검증과 시스템 동작의 소프트웨어 추상화를 통합하여 시스템 수준의 정합성 검증을 수행한다.

Figure 1: Highlights the proposed SRACARE system design flow. It represents the lightweight authenticated secure communication protocol and a new RA and secure boot architecture using custom CARE module.

실험 결과

연구 질문

• RQ1 어떻게 하드웨어-소프트웨어 상호작용을 소형 내장 시스템에 효과적으로 형식적 검증에 적용할 수 있는가?
• RQ2 내성적 SoC에서 안전 부팅 및 원격 진단을 검증하는 데 가장 확장 가능하고 정밀한 방법은 무엇인가?
• RQ3 하이브리드 하드웨어-소프트웨어 공동 검증 프레임워크가 보안 성질과 기능 정합성의 완전한 커버리지를 달성할 수 있는가?
• RQ4 초기 시스템 상태와 액세스 제어 정책의 비트 정밀도 검증은 어떻게 달성할 수 있는가?
• RQ5 형식적 검증 도구는 키 기밀성 및 공격 탐지와 같은 보안 특화 성질을 지원하도록 확장될 수 있는가?

주요 결과

• FVCARE는 하드웨어 추상화와 Frama-C 플러그인을 활용해 5.6 KB 펌웨어의 안전 부팅을 0.2초 내로 형식적 검증한다.
• 프레임워크는 액세스 제어 강제, 키 기밀성, 공격 탐지와 같은 지정된 보안 성질의 100% 검증에 성공한다.
• SMV 및 NuSMV를 통한 하드웨어 검증은 시스템 레지스터와 액세스 제어 정책의 정확한 초기화를 확인한다.
• Frama-C와 고유 플러그인의 통합은 소프트웨어 수준의 검증을 위해 주장 확인, LTL 모델 체킹 및 약점 예측을 가능하게 한다.
• FVCARE는 SRACARE 기반 시스템에서 안전 부팅, 원격 진단 및 내장 복구 기능을 종단 간 공동 검증하는 최초의 프레임워크이다.
• 평가 결과, FVCARE는 하드웨어 및 소프트웨어 형식적 검증을 통합하여 엣지 케이스와 보안 성질의 완전한 커버리지를 확보하며 기존 접근 방식을 능가한다.

Figure 2: Highlights the system design and key contributions of SRACARE : 1) Novel lightweight, secure authenticated communication protocol (steps 1 to 12), and 2) Secure boot with CARE and remote attestation architecture for the P r device (steps 13 to 20)).