[논문 리뷰] libmpk: Software Abstraction for Intel Memory Protection Keys

Soyeon Park, Sangho Lee외 3명|arXiv (Cornell University)|2018. 11. 18.

Security and Verification in Computing참고 문헌 31인용 수 9

한 줄 요약

이 논문은 Intel 메모리 보호 키(MPK)를 위한 소프트웨어 추상화인 libmpk를 제안하며, 사용 후 할당 해제된 메모리 접근 및 키 손상 등의 보안 결함을 제거하고, 16개 이상의 메모리 페이지 그룹에 대한 확장 가능한 관리를 가능하게 하며 스레드 간 허용 권한 동기화를 지원한다. 평가 결과, libmpk는 성능 오버헤드가 1% 미만이며, OpenSSL, JavaScript JIT, Memcached와 같은 실제 애플리케이션에서 mprotect()-기반 보안 대안 대비 성능이 8.1배 향상된다.

ABSTRACT

Intel memory protection keys (MPK) is a new hardware feature to support thread-local permission control on groups of pages without requiring modification of page tables. Unfortunately, its current hardware implementation and software supports suffer from security, scalability, and semantic-gap problems: (1) MPK is vulnerable to protection-key-use-after-free and protection-key corruption; (2) MPK does not scale due to hardware limitations; and (3) MPK is not perfectly compatible with mprotect() because it does not support permission synchronization across threads. In this paper, we propose libmpk, a software abstraction for MPK. libmpk virtualizes protection keys to eliminate the protection-key-use-after-free and protection-key corruption problems while supporting a tremendous number of memory page groups. libmpk also prevents unauthorized writes to its metadata and supports inter-thread key synchronization. We apply libmpk to three real-world applications: OpenSSL, JavaScript JIT compiler, and Memcached for memory protection and isolation. An evaluation shows that libmpk introduces negligible performance overhead (<1%) compared with insecure versions, and improves their performance by 8.1x over secure equivalents using mprotect(). The source code of libmpk will be publicly available and maintained as an open source project.

연구 동기 및 목표

• Intel MPK의 핵심 보안 결함인 보호 키 사용 후 할당 해제 및 초기화되지 않은 할당 해제된 키로 인한 키 손상 문제를 해결하기 위해.
• MPK의 하드웨어 제한으로 인한 16개의 보호 키만 지원하는 문제를 해결하기 위해 가상 키를 통해 확장 가능한 메모리 분할을 가능하게 하기 위해.
• mprotect()의 프로세스 수준 의미론과 MPK의 스레드 수준 허용 권한 제어 간 의미론적 격차를 메우기 위해 스레드 간 키 동기화를 통해 보장하기 위해.
• 기존 애플리케이션과의 원활한 통합을 가능하게 하며 실용적이고 고성능인 메모리 격리 기능을 제공하기 위해 보안성과 효율성을 확보한 소프트웨어 추상화를 제공하기 위해.

제안 방법

• 응용 프로그램 수준의 키를 하드웨어 제한에서 분리하기 위해 소프트웨어가 관리하는 키 공간을 통해 보호 키를 가상화하여 수천 개의 가상 키를 지원할 수 있도록 하기 위해.
• 키 사용 상태를 추적하기 위한 메타데이터 구조를 도입하여 액세스 전에 키 상태를 검증함으로써 사용 후 할당 해제 문제를 방지하기 위해.
• 메타데이터의 무결성을 보장하기 위해 하드웨어 기반 메모리 보호 및 액세스 제어를 활용하여 무단 수정를 방지하기 위해.
• 스레드 간 허용 권한 변경을 조율하기 위한 상호 배제 및 동기화 원자 연산을 구현하여 MPK의 동작 방식을 mprotect()의 의미론과 일치시키기 위해.
• MPK의 복잡성을 추상화하면서도 성능을 유지하는 시스템 호출 인터페이스를 설계하여 기존 애플리케이션과의 원활한 통합을 가능하게 하기 위해.
• 성능 영향을 최소화하기 위해 기존 MPK 하드웨어 기능(예: WRPKRU)을 활용하여 빠른 허용 권한 업데이트를 수행하기 위해.

실험 결과

연구 질문

• RQ1 소프트웨어 추상화가 Intel MPK 기반의 기존 구현에서 발생하는 보안 취약점(예: 사용 후 할당 해제, 키 손상)을 효과적으로 완화할 수 있는가?
• RQ2 소프트웨어 계층이 하드웨어 제한으로 인한 16개의 보호 키로 인한 제약을 극복하여 응용 프로그램에서 확장 가능한 메모리 분할을 가능하게 할 수 있는가?
• RQ3 스레드 간 허용 권한 동기화를 효과적으로 모델링하여 MPK의 스레드 로컬 제어 방식을 mprotect()의 프로세스 전역 의미론과 일치시킬 수 있는가?
• RQ4 실제 생산 환경 애플리케이션에서 이러한 추상화의 성능 오버헤드는 어느 정도인가?

주요 결과

• libmpk는 직접적인 MPK 사용 대비 보안성이 떨어지는 구현 대비 성능 오버헤드가 1% 미만으로 극히 미미하다.
• mprotect()를 기반으로 한 보안 메모리 보호를 대체할 때, OpenSSL, JavaScript JIT 컴파일러, Memcached 등 실제 애플리케이션에서 libmpk는 mprotect()-기반 보안 대안 대비 성능이 8.1배 향상된다.
• 키 상태 검증 및 하드웨어 기반 보호로 메타데이터를 강화함으로써 보호 키 사용 후 할당 해제 및 키 손상을 효과적으로 방지한다.
• 키 가상화를 통해 하드웨어 제한인 16개의 물리적 보호 키를 초월해 수천 개의 가상 메모리 페이지 그룹을 지원한다.
• 스레드 간 허용 권한 동기화가 효과적으로 모델링되어 MPK의 스레드 수준 제어와 mprotect()의 프로세스 수준 제어 간 의미론적 격차를 해결한다.
• OpenSSL, JavaScript JIT 컴파일러, Memcached에서의 평가를 통해 libmpk가 최소한의 런타임 비용으로 보안성과 고성능 메모리 격리를 가능하게 함을 확인했다.