[논문 리뷰] uTango: an open-source TEE for the Internet of Things.

Daniel Oliveira, Tiago Gomes외 1명|arXiv (Cornell University)|2021. 02. 06.

Security and Verification in Computing참고 문헌 43인용 수 4

한 줄 요약

uTango는 IoT 기기용으로 처음으로 다중 월 Trusted Execution Environment(TEE)이며, TrustZone-M 하드웨어를 활용해 일반 월 내에서 다수의 고립된 동일한 보안 수준의 실행 환경을 구축한다. 기존 TEE의 아키텍처 결함을 보완하기 위해 TrustZone 원리를 재사용하여 보안성과 확장성을 향상시키며, Arm Musca-B1에서 검증되었으며 향후 오픈소스화를 통해 광범위한 도입을 촉진할 예정이다.

ABSTRACT

Security is one of the main challenges of the Internet of Things (IoT). IoT devices are mainly powered by low-cost microcontrollers (MCUs) that typically lack basic hardware security mechanisms to separate security-critical applications from less critical components. Recently, Arm has started to release Cortex-M MCUs enhanced with TrustZone technology (i.e., TrustZone-M), a system-wide security solution aiming at providing robust protection for IoT devices. Trusted Execution Environments (TEEs) relying on TrustZone hardware have been perceived as safe havens for securing mobile devices. However, for the past few years, considerable effort has gone into unveiling hundreds of vulnerabilities and proposing a collection of relevant defense techniques to address several issues. While new TEE solutions built on TrustZone-M start flourishing, the lessons gathered from the research community appear to be falling short, as these new systems are trapping into the d\'ej\`a vu pitfalls of the past. In this paper, we present uTango, the first multi-world TEE for modern IoT devices. uTango proposes a novel architecture aiming at tackling the major architectural deficiencies currently affecting TrustZone(-M)-assisted TEEs. In particular, we leverage the very same TrustZone hardware primitives used by dual-world implementations to create multiple, equally-secure execution environments within the normal world. We demonstrate the benefits of uTango by conducting an extensive evaluation on a real TrustZone-M hardware platform, i.e., Arm Musca-B1. uTango will be open-sourced and freely available on GitHub in hopes of engaging academia and industry on securing the foreseeable trillion IoT devices.

연구 동기 및 목표

• 저비용 IoT 마이크로컨트롤러(MCU)에 강력한 하드웨어 보안 메커니즘이 부족한 문제를 해결하기 위해.
• 기존 TrustZone-M 기반 TEE에서 반복되는 과거의 취약점을 반복하지 않도록 아키텍처적 결함을 극복하기 위해.
• TrustZone 하드웨어 원리를 활용해 일반 월 내에서 다수의 동일한 보안 수준의 실행 환경을 제공하기 위해.
• 트리리언 디바이스 IoT 생태계에 맞는 확장성 있고 유연한 TEE 솔루션을 제공하기 위해.
• GitHub에 uTango를 오픈소스화하여 학계와 산업계 간 협업을 촉진하기 위해.

제안 방법

• 이중 월 고립을 넘어서 다중 보안 월을 지원할 수 있도록 TrustZone-M 기능을 확장한 새로운 TEE 아키텍처를 설계하기 위해.
• 새로운 하드웨어 기능 없이도 기존 TrustZone 하드웨어 원리—예를 들어 보안 메모리 영역 및 예외 처리—를 활용하기 위해.
• 일반 월을 다수의 고립된 실행 환경으로 분할하여 각각 동일한 보안 보장을 갖도록 하기 위해.
• 일반 월의 보안 월과 시스템 자원 간의 액세스를 중재하기 위한 안전한 월 관리자(secure world manager)를 구현하기 위해.
• 기존 TrustZone-M 소프트웨어 스택 및 기존 MCU 펌웨어 생태계와의 후행 호환성을 확보하기 위해.
• 실제 Arm Musca-B1 플랫폼에서 설계를 평가하여 보안성과 성능 간의 트레이드오프를 검증하기 위해.

실험 결과

연구 질문

• RQ1 기존 TrustZone-M 하드웨어 원리만을 사용해 일반 월 내에서 다수의 고립된 동일한 보안 수준의 실행 환경을 만들 수 있는가?
• RQ2 제안된 다중 월 TEE 아키텍처는 기존 이중 월 TEE의 알려진 아키텍처적 약점을 어떻게 완화하는가?
• RQ3 실제 IoT 하드웨어에서 기존 이중 월 TEE에 비해 uTango의 성능 오버헤드는 어느 정도인가?
• RQ4 uTango는 하드웨어 확장 없이도 기존 MCU 펌웨어 스택에 얼마나 잘 통합될 수 있는가?
• RQ5 uTango의 설계는 향후 IoT 보안 요구사항을 충족하기 위해 장기적으로 유지보수성과 확장성 면에서 어떻게 향상되는가?

주요 결과

• uTango는 기존 TrustZone-M 하드웨어 원리만을 사용해 일반 월 내에서 다수의 고립된 실행 환경을 성공적으로 생성했다.
• 단일으로 특권을 가진 보안 월을 제거함으로써 기존 이중 월 TEE의 보안성과 복잡성 문제를 피하는 아키텍처를 구현했다.
• Arm Musca-B1 플랫폼에서의 평가 결과, uTango는 수용 가능한 성능 오버헤드를 유지하면서도 강력한 고립 보장을 확보했다.
• 기존 TrustZone-M 소프트웨어와의 호환성 설계 덕분에 기존 IoT 생태계에 쉽게 통합될 수 있었다.
• uTango의 오픈소스화는 차세대 IoT 기기 보안을 위한 연구 및 산업 도입을 가속화할 것으로 기대된다.
• 다중 월 모델은 단일 보안 월보다 공격 표면을 줄이고 확장성을 향상시킨다.