[논문 리뷰] Deterministically Deterring Timing Attacks in Deterland

Weiyi Wu, Bryan Ford|arXiv (Cornell University)|2015. 04. 27.

Security and Verification in Computing참고 문헌 51인용 수 7

한 줄 요약

이 논문은 Deterland을 제시한다. Deterland은 실시간 시계를 지시어 기반 시간 모델로 대체하고 가변적인 I/O 완화 기법을 적용함으로써 클라우드 환경에서 내부 및 외부 시간 채널을 결정적으로 완화하는 하이퍼바이저이다. 이는 수정되지 않은 게스트 운영 체제와 애플리케이션—다양한 프로그래밍 언어를 포함해—에 대해 정보 泄露 경계를 증명 가능하게 보장하고 성능 조정 가능성을 제공하는 최초의 시스템이다.

ABSTRACT

The massive parallelism and resource sharing embodying today's cloud business model not only exacerbate the security challenge of timing channels, but also undermine the viability of defenses based on resource partitioning. We propose hypervisor-enforced timing mitigation to control timing channels in cloud environments. This approach closes "reference clocks" internal to the cloud by imposing a deterministic view of time on guest code, and uses timing mitigators to pace I/O and rate-limit potential information leakage to external observers. Our prototype hypervisor is the first system to mitigate timing-channel leakage across full-scale existing operating systems such as Linux and applications in arbitrary languages. Mitigation incurs a varying performance cost, depending on workload and tunable leakage-limiting parameters, but this cost may be justified for security-critical cloud applications and data.

연구 동기 및 목표

• 자원 공유가 암묵적 정보 유출을 가능하게 하는 다중 임차 클라우드 환경에서 증가하는 시간 측정 사이드 채널 공격의 위협을 해결하기 위해.
• 기존 방어 조치의 한계를 극복하기 위해 애플리케이션 수정, 새로운 프로그래밍 모델, 하드웨어 특화 설정이 필요로 하지 않는 방식으로.
• 기존 소프트웨어에 대한 변경 없이도 내부 시간 채널(예: 캐시, CPU)과 외부 채널(예: 네트워크 I/O)을 모두 보호할 수 있는 실용적이고 후행 호환성 있는 솔루션을 제공하기 위해.
• 클라우드 제공자와 사용자가 성능 오버헤드와 정보 유출 위험 간의 균형을 맞추기 위해 완화 매개변수를 조정할 수 있도록 하기 위해.

제안 방법

• 실시간 시계를 지시어 기반 시간 모델로 대체함으로써 실시간 실행을 강제함으로써 내부 시간 채널을 제거하는, 형식적 하이퍼바이저인 CertiKOS를 확장한다.
• I/O 작업의 속도를 조절하는 예측 기반 완화 기법을 하이퍼바이저 수준에서 적용하여 외부 관찰자에게로의 외부 시간 채널 유출을 제한한다.
• 예측된 시간 행동에 기반해 I/O 지연을 조정하는 조절 가능한 정보 유출 제한 모델을 사용하여 시간이 지남에 따라 정보 유출이 유한하게 유지됨을 보장한다.
• 언어나 API 변경 없이도 하이퍼바이저 계층에서 작동함으로써 수정되지 않은 게스트 운영 체제(예: Linux)와 임의의 언어로 작성된 애플리케이션을 지원한다.
• 시스템 강제 결정성 기법을 활용해 공유 하드웨어 자원을 통해 공재하는 VM이 시간 차이를 유추하는 것을 방지한다.
• 내부 채널에 대한 결정적 실행과 외부 채널에 대한 I/O 패킹을 조합한 하이브리드 방어 기법을 도입하여 종단 간 시간 채널 완화를 가능하게 한다.

실험 결과

연구 질문

• RQ1 애플리케이션 또는 운영 체제 수정 없이도 하이퍼바이저 기반 접근 방식이 다중 임차 클라우드 환경에서 내부 시간 채널을 효과적으로 차단할 수 있는가?
• RQ2 기존 애플리케이션과 네트워크 I/O 패턴과 호환되는 방식으로 외부 시간 채널 유출를 어떻게 제한할 수 있는가?
• RQ3 이러한 시스템의 성능 오버헤드는 다양한 워크로드에서 어떻게 나타나며, 보안 및 성능 요구 사항에 맞게 조정 가능할 수 있는가?
• RQ4 결정적 실행 모델과 I/O 완화 기법의 조합이 내부 및 외부 채널 양쪽에서 정보 유출에 대해 증명 가능한 경계를 제공할 수 있는가?

주요 결과

• Deterland은 임의의 프로그래밍 언어로 작성된 수정되지 않은 게스트 운영 체제 및 애플리케이션을 위한 일반적이고 후행 호환성 있는 시간 채널 완화를 제공하는 최초의 하이퍼바이저이다.
• 실시간 시계를 지시어 기반 시간 모델로 대체함으로써 내부 시간 채널을 줄이고, 공재하는 VM이 공유 자원을 통해 시간 차이를 추론할 수 없게 한다.
• 예측 기반 완화 기법을 하이퍼바이저의 I/O 모델에 적응시켜 외부 시간 채널 유출를 제한하며, 시간이 지남에 따라 증명 가능한 유출 한계를 확보한다.
• 성능 오버헤드는 워크로드에 따라 달라지며, 계산 집약적 또는 지연 내성 워크로드에서는 10% 미만이지만, 인터랙티브 또는 저지연 응용 프로그램에서는 높아질 수 있다.
• 완화 매개변수를 조절할 수 있어 클라우드 제공자와 사용자가 애플리케이션의 민감도에 따라 정보 유출 위험(보안)과 오버헤드(성능) 간의 균형을 조정할 수 있다.
• 정보 유출 비용이 성능 오버헤드를 감수할 가치가 있다고 판단되는 보안 중심 클라우드 워크로드에 대해 실용적인 접근이다.