[논문 리뷰] RV-CURE: A RISC-V Capability Architecture for Full Memory Safety

Yonghae Kim, Anurag Kar외 3명|arXiv (Cornell University)|2023. 08. 05.

Security and Verification in ComputingComputer Science인용 수 3

한 줄 요약

RV-CURE는 데이터 포인터 태깅(DPT)이라는 컴파일러 수준 기법을 통해 불필요한 포인터 비트에 포인터 태그를 삽입하고 하드웨어 가속 능력 검사를 통해 완전한 메모리 안전성을 달성하는 RISC-V 능력 아키텍처입니다. BOOM RISC-V 코어에 경량 하드웨어 확장을 통합하여 SPEC 2017 C/C++ 워크로드에서 평균 10.8%의 느려짐만으로 전체 시스템의 메모리 안전성을 확보합니다.

ABSTRACT

Despite decades of efforts to resolve, memory safety violations are still persistent and problematic in modern systems. Various defense mechanisms have been proposed, but their deployment in real systems remains challenging because of performance, security, or compatibility concerns. In this paper, we propose RV-CURE, a RISC-V capability architecture that implements full-system support for full memory safety. For capability enforcement, we first propose a compiler technique, data-pointer tagging (DPT), applicable to protecting all memory types. It inserts a pointer tag in a pointer address and associates that tag with the pointer's capability metadata. DPT enforces a capability check for every memory access by a tagged pointer and thereby prevents illegitimate memory accesses. Furthermore, we investigate and present lightweight hardware extensions for DPT based on the open-source RISC-V BOOM processor. We observe that a capability-execution pipeline can be implemented in parallel with the existing memory-execution pipeline without intrusive modifications. With our seamless hardware integration, we achieve low-cost capability checks transparently performed in hardware. Altogether, we prototype RV-CURE as a synthesized RTL processor and conduct full-system evaluations on FPGAs running Linux OS. Our evaluations show that RV-CURE achieves strong memory safety at a 10.8% slowdown across the SPEC 2017 C/C++ workloads.

연구 동기 및 목표

• 현대 시스템에서 지속적으로 발생하는 메모리 안전성 위반 문제를 해결하며, 이는 여전히 보안 취약점의 주요 원인입니다.
• 높은 성능 오버헤드, 낮은 호환성 또는 불완전한 보안 커버리지로 인해 제한되는 이전의 소프트웨어 및 하드웨어 방식을 극복합니다.
• 소스 및 바이너리 호환성을 유지하면서 공간적 및 시간적 메모리 안전성을 모두 강제하는 실용적인 전체 시스템 메모리 안전 솔루션을 설계합니다.
• 소프트웨어와 하드웨어의 공동 설계를 통해 효율적이고 저오버헤드 능력 검사를 실현하며, 기존 소프트웨어 스택에 대한 침입적인 변경을 피합니다.

제안 방법

• 모든 메모리 유형(스택, 힙, 글로벌)에서 포인터의 비사용 상위 비트에 능력 메타데이터를 저장하는 일반화된 포인터 태깅 기법인 데이터 포인터 태깅(DPT)을 제안합니다.
• 각 객체의 능력 정보(경계 및 권한 포함)를 저장하는 소프트웨어 관리 능력 메타데이터 테이블(CMT)을 사용하며, 포인터 태그와 연결합니다.
• 메모리 실행 파이프라인과 동시에 동작하는 원자적 능력 검사를 수행하기 위해 RISC-V BOOM 코어에 경량 하드웨어 확장을 통합합니다. 이로 인해 성능 영향을 최소화합니다.
• 태그가 부여된 포인터를 포함한 모든 메모리 접근에서 능력 검사를 강제로 수행하며, 잘못된 접근은 하드웨어 트랩을 통해 거부합니다.
• 객체 할당 해제 시 CMT에서 메타데이터를 제거함으로써 시간적 안전성을 보장하며, 포인터에는 태그를 유지함으로써 떨어진 포인터 접근이 런타임에서 실패하도록 합니다.
• 기존 RISC-V 명령 세트와 파이프라인 구조를 활용하여 OS, 컴파일러, 런타임에 대한 변경 없이 원활한 통합을 가능하게 합니다.

실험 결과

연구 질문

• RQ1 포인터 크기를 확장하지 않고도 모든 메모리 유형(스택, 힙, 글로벌)에서 포인터 태깅 기법이 완전한 메모리 안전성을 달성할 수 있는가?
• RQ2 파이프라인에 침입적인 수정 없이 최소한의 성능 오버헤드로 하드웨어 가속 능력 검사를 구현할 수 있는가?
• RQ3 기존 소프트웨어 스택과의 소스 및 바이너리 호환성을 유지하면서 완전한 메모리 안전성을 달성할 수 있는가?
• RQ4 소프트웨어 중심 또는 하드웨어 중심 솔루션과 비교해 볼 때, 하드웨어 최적화 및 컴파일러 지원 능력 시스템의 성능은 어떠한가?
• RQ5 제안된 메커니즘이 공간적(경계 초과) 및 시간적(자원 해제 후 사용) 메모리 안전성 위반을 효과적으로 방지할 수 있는가?

주요 결과

• RV-CURE는 데이터 포인터 태깅을 통한 개체별 능력 검사를 강제함으로써 스택, 힙, 글로벌 메모리 유형 전반에서 완전한 메모리 안전성을 달성합니다.
• DPT를 위한 하드웨어 확장은 RISC-V BOOM 코어에 원활하게 통합되어 메모리 파이프라인과 동시에 동작하는 능력 검사를 가능하게 하며, 코어의 기본 구조를 변경하지 않습니다.
• SPEC 2017 C/C++ 워크로드 전반에서 평균 10.8%의 성능 저하만 발생시키며, AddressSanitizer와 같은 소프트웨어 중심 솔루션의 73%의 느려짐보다 크게 낮습니다.
• 명령 세트나 포인터 크기에 대한 변경 없이 소스 및 바이너리 호환성을 유지하며, 컴파일러가 삽입한 태그와 소프트웨어 관리 CMT에 의존합니다.
• 재활용 기반 메타데이터 스위핑을 피하기 위해, 객체 할당 해제 시 CMT에서 메타데이터를 제거함으로써 떨어진 포인터 접근이 접근 시점에 무효화됨을 보장합니다.
• CMT가 스레드 간에 공유되며 캐시 일致성 메커니즘(TSO 등)이 코어 간 메타데이터 일致성을 관리하므로, 다중 스레드 환경과도 호환됩니다.