[논문 리뷰] Virtualization: A double-edged sword

Joachim J. Wlodarz|arXiv (Cornell University)|2007. 05. 19.

Cloud Computing and Resource Management참고 문헌 16인용 수 7

한 줄 요약

이 논문은 가상화를 이중성의 도구로 다루며, 자원 효율성과 시스템 유연성 향상이라는 변혁적 이점과 함께 현대 x86 환경에서 특히 심각한 보안 위험을 강조한다. IBM의 메인프레임 VM/370 시대의 역사적 교훈을 바탕으로, 가상 머신이 본질적으로 안전하지 않으며, 복잡한 공격 표면, 구현 결함, 실시간 마이그레이션 및 실시간 생성 기능 등으로 인해 현대 가상화 소프트웨어가 심각한 취약성을 노출하고 있음을 주장한다.

ABSTRACT

Virtualization became recently a hot topic once again, after being dormant for more than twenty years. In the meantime, it has been almost forgotten, that virtual machines are not so perfect isolating environments as it seems, when looking at the principles. These lessons were already learnt earlier when the first virtualized systems have been exposed to real life usage. Contemporary virtualization software enables instant creation and destruction of virtual machines on a host, live migration from one host to another, execution history manipulation, etc. These features are very useful in practice, but also causing headaches among security specialists, especially in current hostile network environments. In the present contribution we discuss the principles, potential benefits and risks of virtualization in a deja vu perspective, related to previous experiences with virtualization in the mainframe era.

연구 동기 및 목표

• 현대 IT에서의 가상화 재등장과 그 시스템 보안에 대한 영향을 분석하기 위해.
• 특히 일반적인 x86 플랫폼에서 내재된 가상화 환경의 보안 취약점을 특정하고 설명하기 위해.
• 과거 메인프레임 시대의 가상화 과제와 현재의 현대 가상화 소프트웨어 문제 사이의 유사성을 밝혀내기 위해.
• 가상화 스택에서 더 강력한 보안 강화, 공식적 검증, 안전한 하이퍼바이저 설계를 촉구하기 위해.

제안 방법

• 특히 IBM의 VM/370 및 System/370 메인프레임을 중심으로, 가상화 원리와 역사적 구현 방식에 대한 후향적 분석을 수행한다.
• 기존의 타입 I 하이퍼바이저(예: VM/370 CP)의 보안 모델과 고립 성질을 현대 x86 가상화 소프트웨어와 비교한다.
• 실시간 마이그레이션, 실시간 생성, 체크포인팅과 같은 동적 가상 머신 기능이 초래하는 보안 위험을 평가한다.
• 최근의 주요 가상화 소프트웨어에서 발견된 공격 가능한 결함을 검토하며, Tavis Ormandy의 연구에서 널리 퍼진 원격 탈출 취약성이 확인됨을 제시한다.
• 전용 네트워크 프론트엔드 VM, 하드ened 운영 체제(예: OpenBSD with pf)를 갖춘 가상 머신 및 액세스 제어를 강제하는 안전한 파일 서버와 같은 아키텍처적 대응 조치를 제안한다.
• 하이퍼바이저의 공식적 검증과 보증 수준(예: Common Criteria EAL4–EAL6)의 중요성을 논의하며, sHype와 Xen을 선도적인 사례로 제시한다.

실험 결과

연구 질문

• RQ1 현대 x86 환경에서 가상 머신은 고립을 약속하지만, 왜 여전히 보안 침해에 취약한가?
• RQ2 메인프레임 가상화 시대의 보안 과제가 오늘날의 일반적인 가상화 플랫폼에 얼마나 재현되는가?
• RQ3 실시간 마이그레이션 및 실시간 VM 생성과 같은 동적 가상화 기능이 보안 위험을 어떻게 악화시키는가?
• RQ4 현재 가상화 소프트웨어의 주요 구현 결함 중에서 VM 탈출 공격을 가능하게 하는 것은 무엇인가?
• RQ5 공식적 검증과 고보증 수준의 하이퍼바이저 설계(EAL4–EAL6 등)가 가상화 보안을 상당히 향상시킬 수 있는가?

주요 결과

• Tavis Ormandy의 연구에 따르면, Xen 이외의 x86 플랫폼 가상화 소프트웨어에는 신뢰할 수 있는 VM 탈출을 가능하게 하는 공격 가능한 보안 결함이 포함되어 있다.
• 가상 머신을 실시간으로 생성, 마이그레이션, 삭제할 수 있는 능력은 악성 소프트웨어가 병렬 VM에 숨거나 시스템 장애 없이 호스트 시스템을 장악하는 등 정교한 스텔스 공격을 가능하게 한다.
• 강화된 시스템이라도 알려지지 않은 결함에 취약하므로, VM/370 보안 커널을 대상으로 한 공식적 검증 프로그램이 필요하다.
• 하이퍼바이저 계층은 본질적으로 안전하지 않으며, 복잡한 소프트웨어와 동일하게 간주되어 정기적인 업데이트와 보안 보조 기능이 필요하다.
• Xen은 EAL5 및 EAL6 보증 수준으로 향하는 명확한 길을 확보한 가장 발전된 오픈소스 하이퍼바이저로 부상했으며, VM 간 강제 액세스 제어를 구현하는 프로토타입 시스템에 의해 뒷받침된다.
• 전용으로 강화된 가상 머신(예: 네트워크 프론트엔드 또는 안전한 파일 서버용)은 공격 표면을 상당히 줄이고 시스템의 내구성을 향상시킬 수 있다.