[논문 리뷰] The Heisenberg Defense: Proactively Defending SGX Enclaves against Page-Table-Based Side-Channel Attacks

Raoul Strackx, Frank Piessens|arXiv (Cornell University)|2017. 12. 22.

Security and Verification in Computing참고 문헌 33인용 수 11

한 줄 요약

논문은 Intel SGX 에이전드에서 페이지 테이블 기반 사이드 채널 공격을 방지하기 위해 민감한 코드 실행 전에 페이지 번역을 검증하고 사전 로드하는 프로아티브 방식의 보안 메커니즘인 Heisenberg를 제안한다. 런타임 감지가 필요 없도록 하여 정보 유출을 방지하고, 지속적인 공격 상황에서도 안전한 에이전드 재시작을 가능하게 한다.

ABSTRACT

Protected-module architectures (PMAs) have been proposed to provide strong isolation guarantees, even on top of a compromised system. Unfortunately, Intel SGX -- the only publicly available high-end PMA -- has been shown to only provide limited isolation. An attacker controlling the untrusted page tables, can learn enclave secrets by observing its page access patterns. Fortifying existing protected-module architectures in a real-world setting against side-channel attacks is an extremely difficult task as system software (hypervisor, operating system, ...) needs to remain in full control over the underlying hardware. Most state-of-the-art solutions propose a reactive defense that monitors for signs of an attack. Such approaches unfortunately cannot detect the most novel attacks, suffer from false-positives, and place an extraordinary heavy burden on enclave-developers when an attack is detected. We present Heisenberg, a proactive defense that provides complete protection against page table based side channels. We guarantee that any attack will either be prevented or detected automatically before {\em any} sensitive information leaks. Consequently, Heisenberg can always securely resume enclave execution -- even when the attacker is still present in the system. We present two implementations. Heisenberg-HW relies on very limited hardware features to defend against page-table-based attacks. We use the x86/SGX platform as an example, but the same approach can be applied when protected-module architectures are ported to different platforms as well. Heisenberg-SW avoids these hardware modifications and can readily be applied. Unfortunately, it's reliance on Intel Transactional Synchronization Extensions (TSX) may lead to significant performance overhead under real-life conditions.

연구 동기 및 목표

• 사용자 신뢰도가 낮은 페이지 테이블을 조작하여 페이지 장애 패턴을 통해 에이전드 비밀을 유출할 수 있는 Intel SGX의 심각한 취약점을 해결한다.
• 거부감지, 새로운 공격에 대한 감지 불가, 감지 후 안전한 실행 재개 불가 등의 문제를 겪는 반응형 방어의 한계를 극복한다.
• 어떤 공격자도 체류해 있더라도 정보 유출가 발생하지 않음을 보장하는 프로아티브 방어를 제공한다.
• 기존 시스템 소프트웨어와의 호환성을 유지하고, TCB 전체를 재설계하거나 애플리케이션 수준의 코드 수정 없이도 구현 가능한 솔루션을 설계한다.

제안 방법

• 기밀성에 민감한 코드를 실행하기 전에 모든 필요한 페이지 번역을 사전 검증하고 사전 로드하여 예기치 않은 페이지 장애가 발생하지 않도록 보장한다.
• Heisenberg-SW에서 Intel Transactional Synchronization Extensions (TSX)를 사용해 페이지 번역 상태를 원자적으로 검증하고 커밋함으로써, 복귀 시 사이드 채널 유출를 방지한다.
• CPU에 최소한의 수정을 가하여 페이지 번역 사전 로딩 메커니즘과 보안 상태 추적 레지스터를 추가하는 하드웨어 보조 버전(Heisenberg-HW)을 구현한다.
• HyperThreading를 지원하는 플랫폼의 PCR 레지스터를 활용해, 에이전드 복귀 중 사전 실행 사이드 채널을 탐지하고 방지한다.
• 기존 SGX 메모리 관리와 통합하여, 모든 페이지 액세스 패턴이 실행 시작 전에 예측 가능하고 사전 검증되도록 보장한다.
• 에이전드 애플리케이션에 대해 투명하고 기존 하이퍼바이저 및 OS의 메모리 관리 제어와 완전히 호환되도록 방어를 설계한다.

실험 결과

연구 질문

• RQ1 런타임 감지에 의존하지 않고, 프로아티브 방어 메커니즘이 SGX 에이전드에서 모든 페이지 테이블 기반 사이드 채널 공격을 방지할 수 있는가?
• RQ2 최소한의 하드웨어 수정으로 효율적으로 페이지 번역 사전 로딩을 구현하면서도 강력한 격리 보장을 확보할 수 있는가?
• RQ3 에이전드 복귀 작업을 보호하기 위해 Intel TSX를 사용할 경우 성능 및 신뢰성의 상호 교환 관계는 어떻게 되는가?
• RQ4 기존 공격뿐 아니라 새로운 페이지 테이블 사이드 채널 공격, 특히 페이지 장애가 발생하지 않는 공격까지도 견딜 수 있도록 방어를 강화할 수 있는가?
• RQ5 공격이 감지된 후에도 복구 단계에서 정보가 泄露되지 않도록 하면서, 에이전드 실행을 안전하게 재시작할 수 있는가?

주요 결과

• Heisenberg는 실행 전에 페이지 번역을 사전 로드하고 검증함으로써 페이지 장애 패턴을 통한 정보 유출 가능성을 완전히 제거하여 모든 페이지 테이블 기반 사이드 채널 공격을 방지한다.
• Intel TSX를 사용하는 Heisenberg-SW 구현은 상당한 성능 오버헤드를 유발하며, 특히 HyperThreading 기반 플랫폼에서 고부하 상황에서 비정상 종료가 발생할 수 있다.
• 최소한의 하드웨어 수정으로 구현된 Heisenberg-HW는 TSX의 성능 문제를 피하고 안정적이고 효율적인 방어 메커니즘을 제공한다.
• 어떤 공격자도 시스템에 남아 있더라도, 복귀 과정에서 민감한 정보가 유출되지 않기 때문에 안전한 에이전드 재시작이 가능하다.
• 기존 SGX 플랫폼과 호환되며, 향후 보호 모듈 아키텍처에 적용 가능하며, 애플리케이션 수준의 코드 수정 없이도 적용이 가능하다.
• 반응형 방어로는 감지되지 않는 페이지 장애가 발생하지 않거나 액세스 비트 변경을 악용하는 공격까지도 효과적으로 완화한다.