[논문 리뷰] Verifying RISC-V Physical Memory Protection

Kevin Cheang, Cameron Rasmussen외 4명|arXiv (Cornell University)|2022. 11. 03.

Security and Verification in Computing인용 수 6

한 줄 요약

이 논문은 LIME 도구체계와 Uclid5 검증 프레임워크를 사용하여 라이브러리 칩 코어의 RISC-V 물리 메모리 보호(PMP) 하드웨어 모듈을 공식적으로 검증한다. PMPChecker 모듈이 기본 설정 하에서 기능적 정확성을 확보하였으며, 이는 키퍼스터 트러스트드 엑스큐션 환경(TEE)의 보안 보장을 검증하는 데 기초가 되는 단계이다. 이는 RISC-V ISA에 명시된 대로 PMP가 메모리 접근 권한을 올바르게 시행한다는 것을 보장한다.

ABSTRACT

We formally verify an open-source hardware implementation of physical memory protection (PMP) in RISC-V, which is a standard feature used for memory isolation in security critical systems such as the Keystone trusted execution environment. PMP provides per-hardware-thread machine-mode control registers that specify the access privileges for physical memory regions. We first formalize the functional property of the PMP rules based on the RISC-V ISA manual. Then, we use the LIME tool to translate an open-source implementation of the PMP hardware module written in Chisel to the UCLID5 formal verification language. We encode the formal specification in UCLID5 and verify the functional correctness of the hardware. This is an initial effort towards verifying the Keystone framework, where the trusted computing base (TCB) relies on PMP to provide security guarantees such as integrity and confidentiality.

연구 동기 및 목표

• 보안이 중요한 시스템에서 메모리 격리를 위한 핵심 요소인 RISC-V 라이브러리 칩 코어 내 PMP 하드웨어 모듈의 기능적 정확성을 공식적으로 검증하는 것.
• RISC-V ISA 매뉴얼에 기반한 PMP 규칙을 명시하고 검증하여 저수준 PMP 하드웨어에 대한 공식적 검증의 격차를 메우는 것.
• 키퍼스터 트러스트드 엑스큐션 환경의 신뢰 기반(Trusted Computing Base, TCB) 검증을 위한 기반을 마련하는 것. 여기서 PMP는 무결성과 기밀성 보장을 위한 핵심 요소이다.
• 자동화된 도구체계(LIME, Uclid5)를 사용하여 Chisel/FIRRTL 하드웨어 기술서를 공식적으로 검증 가능한 모델로 변환하는 것이 가능한지를 보여주는 것.

제안 방법

• RISC-V ISA 매뉴얼에 기반한 PMP 동작의 공식적 명세화를 통해 주소 매칭 및 우선순위 순서에 기반한 읽기, 왼기, 실행 권한에 대한 액세스 규칙 정의.
• 라이브러리 칩의 PMPChecker 모듈을 Chisel에서 FIRRTL로 자동 변환한 후, LIME 도구체계를 통해 Uclid5로 변환하여 공식적 검증을 수행.
• Uclid5에 PMP 액세스 제어 논리를 인코딩하며, 세 가지 예외 케이스(일치하는 영역 없음, 고권한 모드, 우선순위 기반 일치) 처리를 포함.
• Z3 솔버를 사용한 1단계 귀납법을 통한 검증으로, PMPChecker가 모든 유효한 주소 및 설정 입력에 대해 권한을 정확히 시행하는지 검증.
• 검증 복잡성을 줄이기 위해 기본 설정으로 제한함으로써 실용적 사용에 대한 기능적 정확성을 유지.
• 모델 추출 및 모듈화된 검증을 통해 TLB 및 PTW와 같은 다른 시스템 구성 요소로부터 PMPChecker 모듈을 분리하여 전용으로 검증.

실험 결과

연구 질문

• RQ1 라이브러리 칩 내 PMPChecker 모듈이 RISC-V ISA 매뉴얼에 명시된 대로 PMP 액세스 규칙을 정확히 시행하는가?
• RQ2 LIME 및 Uclid5와 같은 자동화된 도구체계가 보안이 중요한 특성에 대해 RTL 수준의 하드웨어 설계를 효과적으로 변환하고 검증할 수 있는가?
• RQ3 PMP의 기능적 정확성이 키퍼스터와 같은 시스템에서 메모리 격리를 보장하는 데 충분한가, 아니면 추가 구성 요소가 필요한가?
• RQ4 이 파ip라인을 사용하여 실제 RISC-V 하드웨어 모듈에 대해 공식적 검증의 성능 및 확장성은 어떠한가?

주요 결과

• Uclid5와 1단계 귀납법을 사용한 검증 결과, 라이브러리 칩 내 PMPChecker 모듈이 기본 설정 하에서 기능적으로 정확함을 입증함.
• 표준 2.6 GHz 인텔 코어 i7 기계(16GB RAM)에서 검증 과정이 41.331초 내로 완료되어 실용적 실행 가능성 확인.
• 48줄의 Chisel 코드가 1,125줄의 Uclid5 모델로 변환되었으며, 이는 LIME-Uclid5 파이프라인의 확장성 입증.
• 공식 명세가 세 가지 예외 케이스를 모두 정확히 모델링함: 일치하는 영역 없음, 고권한 모드, PMP 항목의 우선순위 기반 일치.
• 결과적으로 PMPChecker가 가장 낮은 번호의 일치하는 PMP 항목과 그 설정에 기반해 읽기, 왑기, 실행 권한을 정확히 계산함을 확인.
• 이 작업은 키퍼스터 트러스트드 엑스큐션 환경의 전체 TCB 검증을 위한 핵심적인 첫걸음으로 삼았지만, 향후 작업으로 TLB, PTW 및 소프트웨어 구성 요소 포함이 필요함.