[논문 리뷰] Intel MPX Explained: An Empirical Study of Intel MPX and Software-based Bounds Checking Approaches

Oleksii Oleksenko, Dmitrii Kuvaiskii외 3명|arXiv (Cornell University)|2017. 02. 02.

Security and Verification in Computing참고 문헌 30인용 수 43

한 줄 요약

이 논문은 C/C++ 프로그램을 위한 하드웨어 기반 경계 검사 확장인 Intel MPX를 평가하며, AddressSanitizer, SoftBound, SAFECode와 같은 소프트웨어 기반 솔루션과 비교한다. 강력한 공간 오류 보호 기능을 제공하지만, 평균 약 50%의 높은 성능 오버헤드를 유발하고, 도구 체계가 아직 미숙하며, 시간 오류 검출 기능이 없고, 다중 스레딩 및 메모리 레이아웃 유연성에 핵심적인 제약이 있어, 설계는 유망하지만 실제 생산 환경에선 실용적이지 않다.

ABSTRACT

Memory-safety violations are a prevalent cause of both reliability and security vulnerabilities in systems software written in unsafe languages like C/C++. Unfortunately, all the existing software-based solutions to this problem exhibit high performance overheads preventing them from wide adoption in production runs. To address this issue, Intel recently released a new ISA extension - Memory Protection Extensions (Intel MPX), a hardware-assisted full-stack solution to protect against memory safety violations. In this work, we perform an exhaustive study of the Intel MPX architecture to understand its advantages and caveats. We base our study along three dimensions: (a) performance overheads, (b) security guarantees, and (c) usability issues. To put our results in perspective, we compare Intel MPX with three prominent software-based approaches: (1) trip-wire - AddressSanitizer, (2) object-based - SAFECode, and (3) pointer-based - SoftBound. Our main conclusion is that Intel MPX is a promising technique that is not yet practical for widespread adoption. Intel MPX's performance overheads are still high (roughly 50% on average), and the supporting infrastructure has bugs which may cause compilation or runtime errors. Moreover, we showcase the design limitations of Intel MPX: it cannot detect temporal errors, may have false positives and false negatives in multithreaded code, and its restrictions on memory layout require substantial code changes for some programs.

연구 동기 및 목표

• Intel MPX의 성능, 보안 보장 수준, 실세계 시스템 내 사용성 평가
• AddressSanitizer(트립와이어), SoftBound(포인터 기반), SAFECode(객체 기반)와 같은 주요 소프트웨어 기반 경계 검사 기법과의 비교
• Intel MPX가 생산 환경에 도입되지 못하는 데 기여하는 성능 저하 요인, 보안 갭, 사용성 문제 규명
• C/C++로 작성된 시스템 소프트웨어에 대해 실용적이고 저오버헤드의 메모리 안정성을 제공할 수 있는지 평가

제안 방법

• 표준 벤치마크에서 얻은 다양한 실제 C/C++ 프로그램을 대상으로 Intel MPX에 대한 광범위한 실험적 평가 수행
• GCC 및 ICC 컴파일러와 다양한 최적화 수준에서 런타임 성능 오버헤드 측정 및 소프트웨어 기반 대안과 비교
• 버퍼 오버플로우 및 둥둥거리는 포인터 문제와 같은 알려진 메모리 안정성 취약점을 검출하는 능력을 통해 보안 커버리지 평가
• 메모리 레이아웃 제약 또는 툴체인 버그로 인해 컴파일 또는 실행에 실패하는 프로그램을 분석하여 사용성 분석
• 동시 실행 환경에서의 잘못된 경고(거짓 경고) 및 누락된 경고(거짓 부정)를 탐지하기 위해 다중 스레딩 동작 분석
• 경계 검사 명령어 실행 및 경계 레지스터 메모리 접근에 대한 성능 저하 요인을 고립하고 분석하기 위해 마이크로벤치마크 사용

실험 결과

연구 질문

• RQ1 AddressSanitizer, SoftBound, SAFECode와 같은 소프트웨어 기반 경계 검사 솔루션과 비교해, Intel MPX의 실제 성능 오버헤드는 어느 정도인가?
• RQ2 Intel MPX는 공간 오류뿐만 아니라 시간 오류까지 얼마나 잘 보호하는가?
• RQ3 컴파일러 및 런타임 인fra 구조의 제약이 실사용 시 Intel MPX의 사용성과 신뢰성에 어떤 영향을 미치는가?
• RQ4 특히 다중 스레딩 및 메모리 레이아웃 제약 측면에서 Intel MPX의 근본적인 아키텍처적 제약는 무엇인가?
• RQ5 현재 구현 상태를 고려할 때, Intel MPX는 생산 환경에서 소프트웨어 기반 도구의 실질적인 대안로 간주될 수 있는가?

주요 결과

• Intel MPX는 평균적으로 약 50%의 런타임 성능 오버헤드를 유발하며, 주로 단일 실행 포트에서 경계 검사 명령어를 비효율적으로 실행하고, 경계 레지스터 메모리 접근을 위한 비용이 많이 드는 이중 수준의 주소 번역으로 인해 발생한다.
• 지원 컴파일러 인fra는 아직 미숙하다: GCC-MPX는 최대 150%의 오버헤드를 유발하며, ICC-MPX는 10%의 프로그램이 컴파일되거나 정상적으로 실행되지 못하게 하는 심각한 버그를 포함한다.
• Intel MPX는 SoftBound 및 SAFECode와 달리, 할당 해제 후 사용 또는 둥둥거리는 포인터 참조와 같은 시간 오류에 대해 보호 기능을 제공하지 않는다.
• Intel MPX는 다중 스레딩 프로그램에서 거짓 긍정과 거짓 부정을 모두 보이며, 동시 실행과의 기본적인 불일치를 드러내며, 성능 손실 없이 쉽게 해결할 수 없다.
• 엄격한 메모리 레이아웃 제약으로 인해 평가된 프로그램의 8–13%는 상당한 코드 수정 없이 정상적으로 실행되지 않으며, 추가로 18%는 비침습적 수동 수정이 필요하다.
• 강력한 공간 오류 탐지 기능에도 불구하고 Intel MPX는 아직 생산 환경에 적합하지 않다; 성능과 사용성 측면에서 더 낫기 때문에 AddressSanitizer가 유일한 실용적 대안으로 남아 있다.