[논문 리뷰] Good Motive but Bad Design: Why ARM MPU Has Become an Outcast in Embedded Systems

Wei Zhou, Le Guan외 2명|arXiv (Cornell University)|2019. 08. 09.

Security and Verification in Computing참고 문헌 4인용 수 7

한 줄 요약

이 논문은 ARM의 메모리 보호 유닛(MPU)이 보안 잠재력은 있지만 실세계 임베디드 시스템에서 거의 사용되지 않는 이유를 조사한다. ARMv7-M MPU의 기본 설계 결함—제한된 영역 수, 유연하지 못한 정렬 방식, 특권 전환으로 인한 성능 오버헤드—가 보안 이점을 약화시키고 복잡성을 증가시킨다. 이 연구는 MPU 기반 FreeRTOS가 이러한 아키텍처적 결함로 인해 보안 성과가 거의 없음을 입증하며, 하위 영역 마스킹과 소프트웨어 하드닝 기법 같은 실용적인 개선 방안을 제안한다.

ABSTRACT

As more and more embedded devices are connected to the Internet, leading to the emergence of Internet-of-Things (IoT), previously less tested (and insecure) devices are exposed to miscreants. To prevent them from being compromised, the memory protection unit (MPU), which is readily available on many devices, has the potential to become a free lunch for the defenders. To our surprise, the MPU is seldom used by real-world products. The reasons are multi-fold. While there are non-technical reasons such as compatibility issues, more importantly, we found that MPU brings virtually no security enhancement at the expense of decreased performance and responsiveness. In this work, we investigate the MPU adoption in major real-time operating systems (RTOSs), in particular, the FreeRTOS, and try to pinpoint the fundamental reasons to explain why MPU is not favored. We hope our findings can inspire new remedial solutions to change the situation. We also review the latest MPU design and provide technical suggestions to build more secure embedded systems.

연구 동기 및 목표

• 20년이 넘도록 이용 가능함에도 불구하고, 저비용 하드웨어 보안 기능인 ARM MPU가 실세계 임베디드 시스템에 거의 채택되지 않는 이유를 조사하기 위해.
• 실시간 운영체제(RTOS) 환경에서 효과적인 보안 강화를 방해하는 ARMv7-M MPU의 근본적 설계 제약을 분석하기 위해.
• IoT 기기에서 널리 사용되는 RTOS인 FreeRTOS에서 MPU 사용의 실제 보안 이점과 성능 비용을 평가하기 위해.
• 기존 임베디드 시스템에서 MPU의 사용성과 효과를 향상시키기 위해 후행 호환 가능한 실용적 개선 방안을 제안하기 위해.
• 자원 제약이 있는 환경에서 더 안전하고 가벼우며 효율적인 메모리 보호 메커니즘의 향후 하드웨어 및 소프트웨어 설계를 이끌기 위해.

제안 방법

• 주요 RTOS들인 FreeRTOS, Mbed, Nucleus 등에서 MPU 지원을 종합적으로 분석하여 실세계에서의 채택 패턴를 평가했다.
• ARMv7-M MPU 프로그래밍 모델을 평가하여 영역 설정, 정렬 제약, 하위 영역 비활성화 기능, 특권 수준 전환을 중심으로 분석했다.
• 작업 전환과 인터럽트 처리 과정에서 MPU가 유도하는 성능 오버헤드를 측정하여 특권 전환을 주요 성능 저하 원인으로 규명했다.
• 메모리 영역 재사용 최적화와 분할 감소를 위해 하위 영역 비활성화 필드(SRD)의 사용을 제안하고 평가했다.
• 정적 분석(예: MINION)과 같은 소프트웨어 기반 완화 전략을 검토하여 메모리 섹션을 군집화하고 MPU 영역 수를 최소화했다.
• TrustLite와 ARMv8-M 향상 기능 같은 하드웨어 리모델링 솔루션을 탐색하여 장기적인 관점에서 아키텍처적 제약을 해결했다.

실험 결과

연구 질문

• RQ1 비록 이용 가능하고 저비용이지만, 왜 ARM MPU는 실생산 임베디드 시스템과 RTOS에서 거의 무시당하는가?
• RQ2 ARMv7-M MPU는 실세계 RTOS 환경(예: FreeRTOS)에서 실제로 얼마나 보안을 향상시키는가?
• RQ3 ARMv7-M MPU의 핵심 아키텍처적 결함과 구현 결함는 무엇이며, 그것이 효과성과 채택을 저해하는가?
• RQ4 기존 MPU 설계를 소프트웨어 기법으로 어떻게 개선하여 영역 수를 줄이고 성능 오버헤드를 제거할 수 있는가?
• RQ5 기본적인 유연성 부족과 보안성 결여 문제를 효과적으로 해결하기 위해 장기적으로 어떤 하드웨어 및 소프트웨어 솔루션이 필요한가?

주요 결과

• ARMv7-M 마이크로컨트롤러의 MPU는 제한된 영역 설정과 높은 성능 오버헤드로 인해 실질적인 보안 이점이 거의 없다.
• FreeRTOS는 MPU 지원 포트를 제공하지만, 거의 전부가 MPU 비활성화된 버전으로 배포되며, AWS는 IoT 라이브러리를 오직 비-MPU 버전에 통합했다.
• MPU 기반 시스템에서의 각 작업 전환과 하드웨어 인터럽트 처리는 특권 전환을 수반해 심각한 성능 저하와 반응성 손실을 유발한다.
• 2의 거듭제곱 배수로 정렬된 메모리 영역이 요구됨으로써, 임의의 크기의 영역 할당 시 효율적인 메모리 사용이 어려워진다.
• 하위 영역 비활성화 필드(SRD)를 창의적으로 활용하면, 겹치지 않는 액세스 요구를 가진 여러 작업이 동일한 8KB 영역을 공유할 경우 메모리 낭비를 최대 50%까지 줄일 수 있다.
• ARMv8-M은 영역 수와 영역 유연성을 향상시키지만, 특권 전환 오버헤드와 세밀한 액세스 제어의 부재라는 핵심 문제는 해결하지 못한다.