[논문 리뷰] CompartOS: CHERI Compartmentalization for Embedded Systems

Hesham Almatary, Michael V. Dodson외 7명|arXiv (Cornell University)|2022. 06. 06.

Security and Verification in Computing인용 수 6

한 줄 요약

CompartOS는 CHERI 능력 하드웨어를 사용하여 고성능 임베디드 시스템을 위한 경량이고 연계 기반의 소프트웨어 분할 모델을 도입하여 세분화되고 확장 가능하며 결정적인 보호 기능을 제공한다. MPU 기반 IPC보다 보호 도메인 간 전환 속도가 95% 빠르며, TCP 스루풋 오버헤드를 MPU 기반 시스템의 52%에서 15%로 감소시킨다. 또한 MPU 모델이 놓치는 13개의 FreeRTOS-TCP 취약성 중 10개를 탐지한다.

ABSTRACT

Existing high-end embedded systems face frequent security attacks. Software compartmentalization is one technique to limit the attacks' effects to the compromised compartment and not the entire system. Unfortunately, the existing state-of-the-art embedded hardware-software solutions do not work well to enforce software compartmentalization for high-end embedded systems. MPUs are not fine-grained and suffer from significant scalability limitations as they can only protect a small and fixed number of memory regions. On the other hand, MMUs suffer from non-determinism and coarse-grained protection. This paper introduces CompartOS as a lightweight linkage-based compartmentalization model for high-end, complex, mainstream embedded systems. CompartOS builds on CHERI, a capability-based hardware architecture, to meet scalability, availability, compatibility, and fine-grained security goals. Microbenchmarks show that CompartOS' protection-domain crossing is 95% faster than MPU-based IPC. We applied the CompartOS model, with low effort, to complex existing systems, including TCP servers and a safety-critical automotive demo. CompartOS not only catches 10 out of 13 FreeRTOS-TCP published vulnerabilities that MPU-based protection (e.g., uVisor) cannot catch but can also recover from them. Further, our TCP throughput evaluations show that our CompartOS prototype is 52% faster than relevant MPU-based compartmentalization models (e.g., ACES), with a 15% overhead compared to an unprotected system. This comes at an FPGA's LUTs overhead of 10.4% to support CHERI for an unprotected baseline RISC-V processor, compared to 7.6% to support MPU, while CHERI only incurs 1.3% of the registers area overhead compared to 2% for MPU.

연구 동기 및 목표

• 대규모 복잡한 실시간 임베디드 시스템에서 확장 가능하고 세분화되며 결정적인 하드웨어-소프트웨어 보안의 부족을 해결한다.
• 주류 RTOS에서 널리 사용되는 MPU 기반 솔루션의 한계 — 예를 들어 굵은 단위의 보호 및 낮은 확장성 — 을 극복한다.
• 소스 코드 변경이나 언어 이관 없이 기존 코드베이스와의 호환성을 유지하면서 실시간 결정성을 보존한다.
• 자동차 및 항공전자 플랫폼과 같은 안전이 중요한 시스템을 위한 실용적이고 저비용의 보안 솔루션을 제공한다.
• CHERI 기반 분할이 취약성 발생 시 부분 복구를 지원할 수 있음을 보여주어 시스템 가용성을 향상시킨다.

제안 방법

• 세분화되고 유형 안전한 메모리 접근 및 보호 경계를 강제하기 위해 CHERI 능력 하드웨어를 활용한다.
• 소스 코드 재구성이나 언어 변경 없이 기존 소프트웨어 컴포넌트를 분할하기 위해 연계 기반 모델을 사용한다.
• CHERI의 경계 검사 및 능력 기반 접근 제어를 활용해 버퍼 오버플로우 및 메모리 손상 문제를 탐지하고 격리한다.
• 손상된 컴파트먼트(예: TCP/IP 스택)를 전체 시스템을 멈추지 않고 고립하고 복구할 수 있는 커스텀 장애 처리기 도입.
• 실시간으로 비허용된 메모리 접근을 탐지하고 차단하기 위해 CHERI의 글로벌 포인터(CGP) 및 능력 검증을 활용한다.
• microbenchmark 및 실제 시스템(예: FreeRTOS-TCP, 자동차 데모)을 활용해 성능 및 보안을 평가한다.

실험 결과

연구 질문

• RQ1 MPU 기반 솔루션이 실패하는 대규모 복잡한 임베디트 시스템에서 CHERI 기반 분할이 세분화되고 확장 가능하며 결정적인 보호를 제공할 수 있는가?
• RQ2 CompartOS는 자동 취약성 탐지 및 복구를 가능하게 하면서도 소스 코드 호환성과 실시간 결정성을 어느 정도 유지할 수 있는가?
• RQ3 공격 조건 하에서 CompartOS는 MPU 기반 모델 대비 성능, 보안 커버리지 및 시스템 가용성 측면에서 어떻게 비교되는가?
• RQ4 CompartOS는 전체 시스템 재시작 없이도 핵심 취약성(예: TCP/IP 스택)에서 부분 복구를 가능하게 할 수 있는가?
• RQ5 MPU 대비 CHERI를 통한 분할 기능 통합에 따른 하드웨어 비용은 LUT 및 레지스터 영역 측면에서 얼마나 되는가?

주요 결과

• CompartOS는 MPU 기반 IPC 대비 보호 도메인 간 전환 지연을 95% 감소시켜 22 마이크로초 이내의 장애 처리를 달성한다.
• MPU 기반 솔루션(예: uVisor)이 놓치는 13개의 FreeRTOS-TCP 취약성 중 10개를 탐지하고 격리한다.
• CompartOS의 TCP 스루풋은 MPU 기반 모델(예: ACES) 대비 52% 빠르며, 비보호 시스템 대비 오직 15%의 오버헤드만을 유발한다.
• FPGA에 CHERI를 통합할 경우 CompartOS는 10.4%의 LUT 오버헤드를 유발하며, MPU 대비 7.6%보다 약간 높지만, 레지스터 영역 오버헤드는 MPU 대비 1.3%로 2%보다 낮다.
• 손상된 TCP/IP 스택은 1초 내에 재시작되며 실시간 컴포넌트에 미치는 영향은 최소한이다. 반면 비분할 시스템은 최소 2초가 걸리며 모든 작업이 정지된다.
• CompartOS의 장애 처리기는 소스 코드 변경 없이도 메모리 손상에서 시스템을 고립하고 복구하며, 시스템 가용성과 실시간 보장을 유지한다.