[논문 리뷰] SeCloak: ARM Trustzone-based Mobile Peripheral Control

Matthew Lentz, Rijurekha Sen외 2명|arXiv (Cornell University)|2020. 01. 23.

Advanced Malware Detection Techniques참고 문헌 44인용 수 9

한 줄 요약

SeCloak는 ARM TrustZone 기반 시스템으로, 최소한의 신뢰할 수 있는 컴퓨팅 기반(TCB) 커널을 사용해 스마트폰의 카메라, 마이크, 라디오와 같은 주변기기의 케이스 온/오프 제어를 검증 가능하고 신뢰할 수 있게 가능하게 한다. 기존 소프트웨어(예: Android 또는 Linux)를 수정하지 않고도 지시어 에뮬레이션과 하드웨어 기반 격리 기법을 활용하여, 메인 OS가 손상된 경우에도 주변기기 제어가 안전하게 유지되며, 고스루풋 장치(예: WiFi)에 대해 거의 영향을 주지 않는 성능 영향을 초래한다.

ABSTRACT

Reliable on-off control of peripherals on smart devices is a key to security and privacy in many scenarios. Journalists want to reliably turn off radios to protect their sources during investigative reporting. Users wish to ensure cameras and microphones are reliably off during private meetings. In this paper, we present SeCloak, an ARM TrustZone-based solution that ensures reliable on-off control of peripherals even when the platform software is compromised. We design a secure kernel that co-exists with software running on mobile devices (e.g., Android and Linux) without requiring any code modifications. An Android prototype demonstrates that mobile peripherals like radios, cameras, and microphones can be controlled reliably with a very small trusted computing base and with minimal performance overhead.

연구 동기 및 목표

• 사용자 검증이 가능한 신뢰할 수 있는 스마트폰 센서 및 라디오 제어의 필수적 필요성을 해결하기 위해.
• Android, Linux, 제3자 앱을 포함한 기존 모바일 소프트웨어 스택을 수정하지 않고도 안전한 주변기기 제어를 가능하게 하기 위해.
• 강력한 격리와 하드웨어 수준의 주변기기 상태 강제 수행을 보장하면서도 신뢰할 수 있는 코드 기반(TCB)을 최소화하기 위해.
• 특히 WiFi 및 카메라와 같은 고스루풋 주변기기에서의 사용성과 성능을 유지하기 위해.
• 기존 모바일 플랫폼에 최소한의 변경으로 통합 가능한 실용적이고 구현 가능한 솔루션을 제공하기 위해.

제안 방법

• ARM TrustZone을 활용해 비보안 OS로부터 격리된 상태에서 최소한의 신뢰할 수 있는 커널(s-kernel)이 실행되는 보안 세계를 구축한다.
• OS나 장치 드라이버를 수정하지 않고도 메모리 매핑 I/O(MMIO) 액세스를 가로채고 제어하기 위해 지시어 에뮬레이션을 사용한다.
• 주변기기 제어 지시어의 정확하고 예측 가능한 가로채기를 보장하기 위해 장치 메모리 영역에 강력한 메모리 순서를 적용한다.
• 하드웨어 방화벽(CSU)을 활용해 주변기기 레지스터를 격리하고 보호하며, s-kernel이 모든 액세스를 중재할 수 있도록 한다.
• 사용자에게 주변기기 상태를 명확하게 알리고 이진 온/오프 제어를 강제할 수 있는 보안 커널을 설계한다.
• 시스템 안정성과 사용성을 유지하기 위해 기존 장치 드라이버 및 OS 커널과의 통합을 위해 MMIO 지시어를 투명하게 에뮬레이션한다.

실험 결과

연구 질문

• RQ1 ARM TrustZone 기반으로 최소한의 신뢰할 수 있는 커널을 구축하여, 메인 OS나 응용 프로그램을 수정하지 않고도 스마트폰 주변기기의 검증 가능하고 신뢰할 수 있는 제어를 가능하게 할 수 있는가?
• RQ2 Android나 Linux 커널이 손상된 경우에도 주변기기 제어를 하드웨어 수준에서 강제로 수행할 수 있는가?
• RQ3 지시어 에뮬레이션과 메모리 순서 적용이 WiFi 및 카메라와 같은 고스루풋 주변기기에서 어떤 성능 오버헤드를 초래하는가?
• RQ4 강력한 격리와 최소한의 신뢰 코드 기반을 유지하면서도 사용성과 안정성을 유지할 수 있는가?
• RQ5 형식적 검증에 적합한 작은 TCB를 유지하면서도 안전한 주변기기 제어를 달성할 수 있는가?

주요 결과

• s-kernel은 메인 OS나 장치 드라이버를 수정하지 않고도 WiFi, 카메라, 마이크와 같은 주변기기 제어를 위해 MMIO 지시어를 성공적으로 가로채고 에뮬레이션한다.
• 지시어 수준의 에뮬레이션으로 인해 개별 로드 및 스토어 연산의 시간이 각각 3.61배와 4.22배로 증가한다. 이는 트랩 및 에뮬레이션 오버헤드 때문이지만, 성능에 큰 영향을 주지 않는다.
• 이러한 오버헤드에도 불구하고, WiFi 파일 전송 성능(업로드 및 다운로드)에는 눈에 띄는 저하가 없으며, 에뮬레이션 모드에서의 전송 시간은 기준선 Linux 성능과 일치한다.
• DMA 전송에 의존하는 고스루풋 장치의 경우 제어 경로의 에뮬레이션 영향이 미미하여 성능 영향이 거의 없다.
• 기존 Android나 Linux 기능에 손상이 발생하지 않아 시스템 안정성과 사용성이 유지된다.
• 최소한의 신뢰 코드 기반을 통해 신뢰할 수 있고 검증 가능한 주변기기 제어를 달성했으며, 사용자가 기기의 녹화 또는 데이터 전송 여부를 명확하게 확인할 수 있도록 한다.