[논문 리뷰] Warding off timing attacks in Deterland.

Weiyi Wu, E Zhai외 4명|arXiv (Cornell University)|2015. 04. 27.

Security and Verification in Computing참고 문헌 52인용 수 9

한 줄 요약

이 논문은 클라우드 환경에서 타이밍 채널을 방어하기 위해 하이퍼바이저가 강제하는 타이밍 완화 기법을 제안한다. 이 기법은 결정론적 내부 시계를 강제하고 I/O 작업의 패딩을 통해 정보 泄露 를 제한한다. 프로토타입은 리눅스와 같은 스케일링된 운영 체제 및 다양한 애플리케이션에서 타이밍 채널 유출을 성공적으로 완화하며, 성능 비용을 조절할 수 있다.

ABSTRACT

The massive parallelism and resource sharing embodying today's cloud business model not only exacerbate the security challenge of timing channels, but also undermine the viability of defenses based on resource partitioning. This paper proposes hypervisor-enforced timing mitigation to control timing channels in cloud environments. This approach closes reference clocks internal to the cloud by imposing a deterministic view of time on guest code, and uses timing mitigators to pace I/O and rate-limit potential information leakage to external observers. Our prototype hypervisor implementation is the first system that can mitigate timing-channel leakage across full-scale existing operating systems such as Linux and applications written in arbitrary languages. Mitigation incurs a varying performance cost, depending on workload and tunable leakage-limiting parameters, but this cost may be justified for security-critical cloud applications and data.

연구 동기 및 목표

• 대규모 병렬 처리와 자원 공유로 인해 증가하는 클라우드 환경 내 타이밍 채널의 위협을 해결하기 위해.
• 공유된 클라우드 인fra에서 전통적인 자원 분할 방어 기법의 한계를 극복하기 위해.
• 정보 유출 완화를 위해 결정론적 타이밍을 강제하고 I/O 패딩을 제어하는 하이퍼바이저 수준의 솔루션을 설계하고 구현하기 위해.
• 기존 운영 체제 및 애플리케이션에 수정 없이도 호환성을 확보하기 위해.

제안 방법

• 하이퍼바이저 내부의 참조 시계를 닫아 클라우드 내에서 시간에 대한 결정론적 시각을 강제한다.
• I/O 작업의 속도와 타이밍을 제어하기 위해 타이밍 완화 기법을 사용하여 정보 유출을 줄인다.
• 리눅스를 포함한 게스트 운영 체제 전반에 걸쳐 동일하게 적용되며, 게스트 수정 없이도 가능하다.
• 작업 특성과 설정된 정보 유출 제한 매개변수에 따라 보안과 성능의 균형을 맞추기 위해 유연하게 매개변수를 조절한다.
• 모든 게스트 워크로드에 대해 저수준에서 강제 보장을 보장하기 위해 하이퍼바이저에 직접 통합한다.

실험 결과

연구 질문

• RQ1 하이퍼바이저 수준의 접근 방식이 수정되지 않은 다양한 게스트 운영 체제 및 애플리케이션에서 타이밍 채널 유출을 효과적으로 완화할 수 있는가?
• RQ2 다양한 워크로드와 정보 유출 제한 설정에 따라 완화 기법의 성능 오버헤드는 어떻게 변하는가?
• RQ3 자원 분할에 의존하지 않고도 이론적으로는 타이밍 채널을 얼마나 효과적으로 차단할 수 있는가? 특히 고도로 병렬화된 클라우드 환경에서는 자원 분할이 비효율적임을 감안할 때.
• RQ4 강력한 타이밍 격리 조건을 적용하면서도 존재하는 소프트웨어 스택과의 호환성을 유지할 수 있는가?

주요 결과

• 프로토타입은 리눅스와 같은 스케일링된 기존 운영 체제 및 다양한 프로그래밍 언어로 작성된 애플리케이션에서 타이밍 채널 유출을 성공적으로 완화한다.
• 완화 기법의 성능 비용은 워크로드 특성과 설정된 정보 유출 제한 매개변수에 따라 변동 가능하며, 조절이 가능하다.
• 내부 참조 시계를 효과적으로 차단하고 외부 관찰자가 타이밍 사이드 채널을 통해 민감한 정보를 유추하는 것을 방지할 수 있다.
• 게스트 운영 체제나 애플리케이션에 수정이 필요 없어 광범위한 호환성을 확보할 수 있다.