[논문 리뷰] SGX-LKL: Securing the Host OS Interface for Trusted Execution

Christian Priebe, Divya Muthukumaran외 5명|arXiv (Cornell University)|2019. 08. 29.

Security and Verification in Computing참고 문헌 69인용 수 42

한 줄 요약

SGX-LKL는 수정되지 않은 Linux 바이너리를 SGX 엔클레이브 내부에서 실행하고, 신뢰할 수 없는 호스트로부터 I/O를 보호하기 위한 완전한 엔클레이브 내 라이브러리 OS를 갖춘 최소화된, 암호화된, 그리고 오블리비어스한 호스트 인터페이스를 제공합니다.

ABSTRACT

Hardware support for trusted execution in modern CPUs enables tenants to shield their data processing workloads in otherwise untrusted cloud environments. Runtime systems for the trusted execution must rely on an interface to the untrusted host OS to use external resources such as storage, network, and other functions. Attackers may exploit this interface to leak data or corrupt the computation. We describe SGX-LKL, a system for running Linux binaries inside of Intel SGX enclaves that only exposes a minimal, protected and oblivious host interface: the interface is (i) minimal because SGX-LKL uses a complete library OS inside the enclave, including file system and network stacks, which requires a host interface with only 7 calls; (ii) protected because SGX-LKL transparently encrypts and integrity-protects all data passed via low-level I/O operations; and (iii) oblivious because SGX-LKL performs host operations independently of the application workload. For oblivious disk I/O, SGX-LKL uses an encrypted ext4 file system with shuffled disk blocks. We show that SGX-LKL protects TensorFlow training with a 21% overhead.

연구 동기 및 목표

• 클라우드 환경에서 호스트 OS가 신뢰할 수 없을 때 TEEs에 대한 안전한 호스트 인터페이스를 동기부여한다.
• SGX 지원 런타임을 위한 최소화되고 보호되며 오블리비어스한 호스트 인터페이스를 제안한다.
• 엔클레이브 내부에서 수정되지 않은 Linux 바이너리 실행이 허용 가능한 오버헤드로 가능함을 시연한다.
• 민감한 호스트 메타데이터를 노출하지 않으면서 POSIX와 유사한 애플리케이션을 지원하는 엔클레이브 내 OS 기능을 제공한다.

제안 방법

• 저장 및 네트워킹에 대한 7개의 I/O 및 제어 호출로 구성된 최소한의 호스트 인터페이스를 정의한다.
• 포지션 애플리케이션을 엔클레이브 내부에서 지원하기 위해 완전한 Linux 라이브러리 OS(LKL)를 통해 엔클레이브 내에서 OS 기능을 구현한다.
• 교차 데이터의 암호화와 무결성 보호로 호스트 인터페이스를 보호한다.
• 호스트 호출을 배치하고 더미 호출을 사용해 로드 패턴을 숨김으로써 무지가 되게 한다.
• 디스크 I/O를 보호하기 위해 Linux 장치 매퍼를 통한 dm-crypt/dm-verity/dm-integrity를 사용한다.
• 엔클레이브 내 네트워크 트래픽용 WireGuard 기반 VPN과 패킷 처리를 위한 가상 네트워크 디바이스를 사용한다.
• 엔클레이브 무결성과 비밀 분배를 검증하기 위한 어테스테이션과 프로비저닝을 구현한다.

실험 결과

연구 질문

• RQ1 TEEs에 대한 호스트 인터페이스를 어떻게 최소화하여 정보 누출과 공격 표면을 줄이면서도 엔클레이브 내에서 수정되지 않은 Linux 바이트를 실행할 수 있게 할 수 있는가?
• RQ2 엔클레이브 내 OS 구성요소와 최소한의 호스트 인터페이스가 호스트에 민감한 메타데이터를 노출하지 않으면서 POSIX 호환성을 제공할 수 있는가?
• RQ3 SGX-LKL에서 디스크 및 네트워크 I/O를 보호할 때 발생하는 성능 오버헤드는 무엇이며 단일 머신 대 분산 배치에서 어떻게 비교되는가?
• RQ4 보안 어테스테이션 및 프로비저닝을 어떻게 통합하여 암호화된 디스크 이미지 및 VPN 채널에 대한 신뢰와 키를 구축할 수 있는가?

주요 결과

• SGX-LKL은 디스크 및 네트워크 I/O, 이벤트, 시간에 대한 7-호출 호스트 인터페이스를 사용한다.
• 디스크 I/O는 dm-crypt/dm-verity/dm-integrity를 사용하는 매핑된 ext4 루트 이미지로 보호되어 구성 가능한 기밀성과 무결성을 가능하게 한다.
• 네트워크 I/O는 엔클레이브 트래픽에 대해 계층 3 암호화를 제공하는 WireGuard 기반 VPN으로 보호된다.
• 엔클레이브 내 라이브러리 OS(LKL)를 통해 파일 시스템, 네트워킹, 스레딩, 메모리 관리, 시그널, 시간 등 POSIX 기능을 제공한다.
• 실험 결과는 에뮬레이션된 SGX 엔클레이브에서 TensorFlow 학습 시 14–21%의 오버헤드, 분산 배치에서 2.7×–2.9×의 오버헤드를 보이고, PARSEC 벤치마크는 오블리비어스 호출에서 3.1×의 오버헤드, 비오블리비어스 호출에서 1.5×를 보인다.