[논문 리뷰] ScaRR: Scalable Runtime Remote Attestation for Complex Systems

Flavio Toffalini, Eleonora Losiouk외 3명|arXiv (Cornell University)|2018. 07. 20.

Security and Verification in Computing참고 문헌 52인용 수 4

한 줄 요약

ScaRR는 클라우드 기반 가상 머신과 같은 복잡한 시스템을 대상으로 하는 최초의 확장 가능한 런타임 원격 인증 체계로, 새로운 분할 기반 제어 흐름 모델을 통해 세밀한 중간 단계 검증을 가능하게 한다. 이는 초당 평균 200만 건의 제어 흐름 이벤트를 달성하며, 이는 이전 솔루션보다 뛰어나며 다중 스레딩과 동적 런타임 분석을 지원한다.

ABSTRACT

The introduction of remote attestation (RA) schemes has allowed academia and industry to enhance the security of their systems. The commercial products currently available enable only the validation of static properties, such as applications fingerprint, and do not handle runtime properties, such as control-flow correctness. This limitation pushed researchers towards the identification of new approaches, called runtime RA. However, those mainly work on embedded devices, which share very few common features with complex systems, such as virtual machines in a cloud. A naive deployment of runtime RA schemes for embedded devices on complex systems faces scalability problems, such as the representation of complex control-flows or slow verification phase. In this work, we present ScaRR: the first Scalable Runtime Remote attestation schema for complex systems. Thanks to its novel control-flow model, ScaRR enables the deployment of runtime RA on any application regardless of its complexity, by also achieving good performance. We implemented ScaRR and tested it on the benchmark suite SPEC CPU 2017. We show that ScaRR can validate on average 2M control-flow events per second, definitely outperforming existing solutions.

연구 동기 및 목표

• 클라우드 VM과 같은 복잡한 시스템을 위한 확장 가능한 런타임 원격 인증(RA) 솔루션이 부족한 문제를 해결하기 위해, 이전에 임베디드 장치 중심으로 개발된 RA 체계로는 충분히 지원되지 않는 복잡한 시스템에 대응한다.
• 프로그램 실행을 중단하지 않고도 런타임 중 제어 흐름 무결성을 검증할 수 있도록 하며, 동적 및 중간 단계 검증을 지원한다.
• 기존의 단일 경로 해시 또는 기호적 실행에 의존하는 RA 체계의 확장성 한계를 극복하여, 복잡한 소프트웨어에서는 실현 불가능한 기존 솔루션의 한계를 해결한다.
• 검증자가 최소 지연 시간으로 부분 실행 보고서를 분석할 수 있도록 함으로써 세밀한 공격 탐지 기능을 제공한다.
• 다중 스레딩 및 ASLR, 스택 캐나리와 같은 표준 보안 메커니즘을 포함한 현대 시스템 기능과 호환되는 솔루션을 설계한다.

제안 방법

• ScaRR는 전체 실행 경로를 의미 있는 부분 경로로 분할하는 새로운 제어 흐름 모델을 도입하여, 부분 보고서 전송을 가능하게 한다.
• 프로버는 런타임 중에 중간 부분 보고서를 생성하고 전송하며, 각 보고서는 제어 흐름 실행의 일부를 나타낸다.
• 검증자는 정적 분석과 색먼드 실행을 조합하여 경량이면서도 타당한 검증을 수행함으로써 각 부분 보고서의 정확성을 보장한다.
• 컴파일러 인스트루멘테이션을 통해 LLVM를 활용하여 응용 프로그램 소스에 모니터링 코드를 삽입함으로써 런타임 중 제어 흐름 이벤트 수집을 가능하게 한다.
• 신뢰할 수 있는 앵커를 사용하여 보고서의 진위성과 무결성을 보장하며, W^X, ASLR 등의 표준 운영 체제 수준 보호 조치를 통해 런타임 방어를 구현한다.
• 각 스레드별로 독립적으로 제어 흐름 이벤트를 추적하고 보고함으로써 다중 스레딩 실행을 지원한다.

실험 결과

연구 질문

• RQ1 클라우드 기반 가상 머신과 같은 복잡한 시스템에 대해 효과적으로 확장 가능한 런타임 원격 인증 체계를 설계할 수 있는가?
• RQ2 단일 경로 해시나 고비용 기호적 실행에 의존하지 않고도 실시간으로 제어 흐름 무결성을 검증할 수 있는가?
• RQ3 프로그램 실행을 방해하지 않으면서도 실행 경로의 중간 단계 검증을 달성할 수 있는가? 이는 세밀한 공격 탐지 기능을 가능하게 한다.
• RQ4 복잡한 워크로드를 대상으로 할 때, 런타임 RA 체계의 인증 및 검증 속도에 대한 성능 한계는 무엇인가?
• RQ5 제안된 제어 흐름 표현 모델이 C-FLAT나 DIAT와 같은 기존 접근 방식과 비교해 보안성과 확장성 측면에서 어떻게 다른가?

주요 결과

• ScaRR는 평균적으로 초당 200만 건의 제어 흐름 이벤트를 달성하여, 이전 솔루션의 수백에서 수천 건만 처리할 수 있던 성능을 크게 뛰어넘는다.
• 검증 단계는 부분 보고서에 대한 경량 검증을 통해 매우 효율적이며, 성능 저하 없이 실시간 검증이 가능하다.
• 부분 보고서가 작고, 각 간격당 제어 흐름 이벤트의 일부만 전송되므로 네트워크 트래픽이 최소화된다.
• 경로 분할 기반의 제어 흐름 모델은 표현 크기의 지수적 증가 없이도 복잡한 제어 흐름 그래프를 정확하게 표현할 수 있다.
• ScaRR는 다중 스레딩 애플리케이션을 지원하며, 완전히 손상된 사용자 영역 위협 모델 하에서도 보안 보장을 유지한다.
• 색먼드 실행을 통한 타당한 검증 덕분에, 다중 집합 기반 모델에서 실행 순서 손실을 악용하는 COOP 공격에 대해 회복 가능성이 있다.