[논문 리뷰] REORDER: Securing Dynamic-Priority Real-Time Systems Using Schedule Obfuscation

Chien-Ying Chen, Monowar Hasan외 3명|arXiv (Cornell University)|2018. 06. 04.

Real-Time Systems Scheduling참고 문헌 41인용 수 12

한 줄 요약

이 논문은 동적 우선순위 실시간 시스템—특히 EDF 스케줄링을 사용하는 시스템—의 보안을 향상시키기 위해 실행 시간 스케줄 오브스컬레이션 프로토콜인 REORDER를 제안한다. 이 방법은 유한한 우선순위 블로킹을 도입하여 작업 실행 패턴을 무작위화함으로써 보안성을 높이며, 스케줄 가능성은 유지하면서 사이드 채널 공격에 대한 저항력을 증가시킨다. 저자들은 오브스컬레이션 효과를 측정하기 위한 정량적 지표로 '스케줄 엔트로피'를 도입하였으며, 이는 라즈베리 파이에서 리눅스 커널 통합 및 MiBench 자동차 워크로드를 통해 검증되었다.

ABSTRACT

The deterministic (timing) behavior of real-time systems (RTS) can be used by adversaries - say, to launch side channel attacks or even destabilize the system by denying access to critical resources. We propose a protocol (named REORDER) to obfuscate this predictable timing behavior of RTS, especially ones designed using dynamic-priority scheduling algorithms (e.g., EDF). We also present a metric (named "schedule entropy") that measures the levels of obfuscation introduced into a given real-time system. The REORDER protocol was integrated into the standard Linux real-time scheduler and evaluated on a realistic embedded platform (Raspberry Pi) running the MiBench automotive benchmark workloads. We also demonstrate how designers of RTS can increase the security of their systems and also quantitatively measure the impact (both in terms of security and performance) of using this protocol.

연구 동기 및 목표

• 실시간 시스템(RTS)에서 예측 가능한 타이밍 행동을 악용하는 사이드 채널 공격 및 서비스 거부 공격의 증가하는 위협을 해결한다.
• 기존 보안 메커니즘이 동적 우선순위 스케줄러에 대해 효과적이지 않거나 오브스컬레이션의 정량적 평가가 부족한 한계를 극복한다.
• 시간 보장을 훼손하지 않으면서 실시간 시스템의 작업 실행 패턴을 무작위화할 수 있는 실용적이고 스케줄 가능성 유지 방법을 개발한다.
• 비교 평가를 위한 실시간 스케줄에서의 오브스컬레이션 수준을 정량적으로 측정할 수 있는 새로운 지표인 '스케줄 엔트로피'를 도입한다.
• 실제 하드웨어에서의 실험 평가를 통해 시스템 설계자가 실시간 시스템의 보안-성능 트레이드오프를 평가하고 조정할 수 있도록 한다.

제안 방법

• EDF 기반 시스템에서 작업 스케줄링을 무작위화하면서도 스케줄 가능성 유지 보장을 위해 유한한 우선순위 블로킹을 도입하는 런타임 프로토콜인 REORDER를 제안한다.
• 재정의된 우선순위 블로킹 지속 시간을 제어하기 위해 타이머 기반 메커니즘(reorder_pi_timer)을 사용하며, 구성 가능한 모드로는 REORDER_NORMAL, REORDER_IDLE_TIME, REORDER_FINE_GRAINED, REORDER_RECLAMATION이 있다.
• 핵심 스케줄링 파일인 sched.h, core.c, deadline.c를 수정하여 리눅스 커널에 프로토콜를 구현함으로써 작업별 및 스케줄러별 변수를 지원한다.
• 구간 길이 m과 임계값 π를 사용한 근사 엔트로피를 기반으로 한 스케줄 엔트로피 지표를 정의하여 실행 시퀀스의 무작위성을 정량화함으로써 단순한 엔트로피 근사의 한계를 해결한다.
• 이산 푸리에 변환(DFT) 분석을 통해 오브스컬레이션된 스케줄이 작업 주파수를 은폐함으로써 사이드 채널 복원의 가능성을 감소시킴을 입증한다.
• 라즈베리 파이 플랫폼에서 MiBench 자동차 벤치마크를 사용하여 실제 성능과 보안 영향을 측정함으로써 프로토콜를 평가한다.

실험 결과

연구 질문

• RQ1 유한한 우선순위 블로킹을 사용하여 EDF 기반 시스템에서 실시간 스케줄을 오브스컬레이션할 수 있는가? 이 경우 시간 보장은 위반되지 않는가?
• RQ2 실시간 스케줄의 오브스컬레이션 수준은 어떻게 정량적으로 측정할 수 있으며, 이러한 오브스컬레이션에 의해 도입된 무작위성을 가장 잘 반영하는 지표는 무엇인가?
• RQ3 실제 임베디드 워크로드에 적용했을 때 REORDER의 성능 오버헤드 및 스케줄 가능성 영향은 어떠한가?
• RQ4 제안된 스케줄 엔트로피 지표는 이론적 엔트로피에 비해 주기적 작업 스케줄에서 진정된 무작위성을 얼마나 잘 반영하는가?
• RQ5 REORDER를 통한 스케줄 오브스컬레이션은 주파수 분석 기반 사이드 채널 공격의 가능성에 얼마나 기여하여 감소시키는가?

주요 결과

• REORDER는 스케줄 가능성 유지 보장에 성공했다: 원래 EDF에서 스케줄 가능한 작업 집합은 REORDER의 오브스컬레이션된 스케줄링에서도 여전히 스케줄 가능하다.
• 제안된 스케줄 엔트로피 지표는 실행 패턴의 무작위성을 효과적으로 캡처하며, 평가된 작업 집합에서 근사 엔트로피와 진정된 엔트로피 간 상관계수가 약 0.82로 확인되었다.
• DFT 분석 결과, REORDER를 통한 오브스컬레이션된 스케줄은 특히 비조화 주기를 가진 작업의 주파수를 은폐함으로써 사이드 채널 복원의 어려움을 크게 증가시켰다.
• 리눅스 커널에 REORDER를 구현한 결과, 실현 가능성과 낮은 런타임 오버헤드를 입증하였으며, 라즈베리 파이에서 MiBench 자동차 벤치마크를 사용한 실제 하드웨어에서의 측정을 통해 보안 향상 효과를 입증하였다.
• REORDER_NORMAL, REORDER_IDLE_TIME, REORDER_FINE_GRAINED, REORDER_RECLAMATION의 네 가지 스케줄링 모드를 통해 시스템 요구사항에 따라 보안과 성능 간 트레이드오프를 설계자가 조정할 수 있다.
• 구간 기반 방법(여기서 m = ⌈0.35L⌉, π = 0.1L)을 사용한 엔트로피 근사는 다양한 스케줄링 방식 간의 오브스컬레이션 수준 비교에 실용적이고 확장 가능한 방법을 제공한다.