[논문 리뷰] Plugging Side-Channel Leaks with Timing Information Flow Control

Bryan Ford|arXiv (Cornell University)|2012. 03. 09.

Security and Verification in Computing참고 문헌 14인용 수 14

한 줄 요약

이 논문은 분산 정보 흐름 제어의 확장판인 타이밍 정보 흐름 제어(TIFC)를 제안한다. TIFC는 클라우드 환경에서 타이밍 사이드채널 유출을 명시적으로 추적하고 제한하기 위해 시스템 객체에 내용 및 타이밍 풀트레이스를 모두 레이블링한다. 결정론적 실행과 페이스팅 큐를 조합함으로써 TIFC는 통계적 멀티플렉싱을 가능하게 하면서도 타이밍 정보 유출을 사전에 정의된 한도 이내로 제한한다. 이로 인해 악성 소프트웨어 없이도 민감한 타이밍 데이터가 허용된 한도를 초과해 노출되지 않도록 보장하면서도 안전하고 효율적인 클라우드 자원 공유를 실현한다.

ABSTRACT

The cloud model's dependence on massive parallelism and resource sharing exacerbates the security challenge of timing side-channels. Timing Information Flow Control (TIFC) is a novel adaptation of IFC techniques that may offer a way to reason about, and ultimately control, the flow of sensitive information through systems via timing channels. With TIFC, objects such as files, messages, and processes carry not just content labels describing the ownership of the object's "bits," but also timing labels describing information contained in timing events affecting the object, such as process creation/termination or message reception. With two system design tools-deterministic execution and pacing queues-TIFC enables the construction of "timing-hardened" cloud infrastructure that permits statistical multiplexing, while aggregating and rate-limiting timing information leakage between hosted computations.

연구 동기 및 목표

• 클라우드 컴퓨팅 환경에서 공유된 병렬 인프라가 악성 소프트웨어 없이도 고대역폭의 정보 유출을 가능하게 하는 타이밍 사이드채널 위협이 증가하고 있는 데 대응하기 위해.
• 내용 풀트레이스 외에 타이밍 이벤트(예: 프로세스 시작/정지)가 민감한 정보를 유출할 수 있음을 고려해 분산 정보 흐름 제어(DIFC)를 타이밍 레이블로 확장하기 위해.
• 클라우드 제공자가 통계적 멀티플렉싱(효율성에 필수적임)을 유지하면서도 공류된 워크로드 간의 타이밍 정보 유출에 엄격하고 분석 가능한 경계를 적용할 수 있도록 하기 위해.
• 제어된, 비율 제한된 타이밍 유출을 가능하게 하는 시스템 모델을 설계하여 타이밍 탈기밀화가 제한되고 이행 가능한 방식으로 보장하기 위해.

제안 방법

• Flume 스타일의 DIFC를 확장하여 {L_C / L_T} 형태의 이중 레이블을 도입하며, 여기서 L_C는 내용 풀트레이스를 나타내고 L_T는 주파수 범위가 있는 타이밍 풀트레이스를 나타낸다.
• U_f 형식의 타이밍 태그를 할당하며, 여기서 U는 사용자이고 f는 초당 비트 수로 정의되는 최대 유출 비율이다. 이를 통해 타이밍 정보 흐름에 대한 세밀한 제어가 가능해진다.
• 결정론적 실행을 사용하여 작업 결과가 입력 내용에만 의존하고 실행 시간에 따라 달라지지 않도록 하여, 시스템 수준에서 타이밍 사이드채널을 격리한다.
• 게이트웨이 노드에 페이스팅 큐를 도입하여 작업 결과의 배포 속도를 제한함으로써 타이밍 채널을 최대 유출 비율 f까지 낮춘다.
• 탈기밀화 기능을 사용하여 TIFC 정책을 이행함으로써 게이트웨이가 타이밍 레이블을 최대 허용 비율 f 이내로만 탈기밀화할 수 있도록 하여 무제한의 유출를 방지한다.
• 고도의 레이블을 가진 스케줄러를 도입하여 타이밍 수요를 관찰할 수는 있지만 내용에 영향을 주지 못하게 하여, 타이밍 피드백이 페스터를 통해 격리되고 비율 제한됨을 보장한다.

실험 결과

연구 질문

• RQ1 공유된 클라우드 인프라에서 타이밍 사이드채널을 정보 흐름 제어의 확장판을 통해 형식적으로 모델링하고 제어할 수 있는가?
• RQ2 클라우드 제공자가 공류된 워크로드 간의 무제한 타이밍 정보 유출을 방지하면서도 통계적 멀티플렉싱의 효율성을 유지할 수 있는가?
• RQ3 성능을 훼손하거나 신뢰할 수 있는 하드웨어를 요구하지 않으면서도 제한된 타이밍 유출을 강제로 이행할 수 있는 시스템 수준의 메커니즘은 무엇인가?
• RQ4 타이밍 풀트레이스를 레이블링하고 탈기밀화함으로써 고객 간에 안전하고 비율 제한된 정보 흐름을 구현할 수 있는가?
• RQ5 결정론적 실행과 페이스팅 큐를 어떻게 조합하여 클라우드 환경에서 보안성과 확장성을 동시에 확보할 수 있는가?

주요 결과

• TIFC는 타이밍 이벤트를 사용자별 유출 비율로 명시적으로 레이블링함으로써 안전하고 통계적 멀티플렉싱이 가능한 클라우드 실행을 가능하게 하며, 타이밍 사이드채널이 제한되고 분석 가능한 상태를 보장한다.
• 게이트웨이 노드에 페이스팅 큐를 도입함으로써 작업 결과의 배포가 최대 비율 f 이내로 제한되어 고대역폭의 타이밍 누출이 사전 정의된 한도까지 낮아진다.
• 결정론적 실행을 통해 작업 결과가 입력 내용에만 의존하고 실행 시간에 따라 달라지지 않게 하여 애플리케이션 수준에서 타이밍 기반 사이드채널 유출를 완전히 제거한다.
• 스케줄러는 사용자로부터 타이밍 수요를 관찰할 수 있지만 내용을 알 수 없으며, 내용이나 타이밍 정보를 사용자에게 되돌려보내지 않아 기밀성을 유지한다.
• 게이트웨이가 최대 비율 f까지 탈기밀화 기능을 부여받음으로써 다른 사용자의 타이밍 레이블을 안전하게 탈기밀화할 수 있으며, 이는 유저 간의 통신을 가능하게 하면서도 유출 한도를 강제로 이행한다.
• 모델은 명시적 레이블링과 비율 제한 메커니즘을 결합함으로써 통계적 멀티플렉싱과 타이밍 채널 제어가 상호 호환됨을 입증하며, 안전한 클라우드 인프라를 위한 실현 가능한 길을 제시한다.