[논문 리뷰] Glider: A GPU Library Driver for Improved System Security

Ardalan Amiri Sani, Lin Zhong외 1명|arXiv (Cornell University)|2014. 11. 14.

Security and Verification in Computing참고 문헌 37인용 수 4

한 줄 요약

Glider는 GPU 디바이스 리소스 관리를 신뢰할 수 없는 사용자 공간 라이브러리로 옮기면서도, 최소한의 신뢰할 수 있는 커널 모듈을 통해 하드웨어 액세스를 격리하는 라이브러리 드라이버 아키텍처를 제안한다. 이로 인해 신뢰 컴퓨팅 베이스(TCB)가 35–90% 감소하고, OpenGL 즉시 모드와 같은 I/O 집약적인 워크로드에서 성능 향상을 보이며, 보안성과 효율성이 GPU 드라이버에서 공존할 수 있음을 입증한다.

ABSTRACT

Legacy device drivers implement both device resource management and isolation. This results in a large code base with a wide high-level interface making the driver vulnerable to security attacks. This is particularly problematic for increasingly popular accelerators like GPUs that have large, complex drivers. We solve this problem with library drivers, a new driver architecture. A library driver implements resource management as an untrusted library in the application process address space, and implements isolation as a kernel module that is smaller and has a narrower lower-level interface (i.e., closer to hardware) than a legacy driver. We articulate a set of device and platform hardware properties that are required to retrofit a legacy driver into a library driver. To demonstrate the feasibility and superiority of library drivers, we present Glider, a library driver implementation for two GPUs of popular brands, Radeon and Intel. Glider reduces the TCB size and attack surface by about 35% and 84% respectively for a Radeon HD 6450 GPU and by about 38% and 90% respectively for an Intel Ivy Bridge GPU. Moreover, it incurs no performance cost. Indeed, Glider outperforms a legacy driver for applications requiring intensive interactions with the device driver, such as applications using the OpenGL immediate mode API.

연구 동기 및 목표

• 통합 커널에서의 큰 크기와 복잡한 GPU 디바이스 드라이버가 악성 공격의 대상이 되는 증가하는 보안 위험을 해결하기 위해.
• 디바이스 리소스 관리와 격리 로직을 분리하여 신뢰 컴퓨팅 베이스(TCB)와 공격 표면을 줄이기 위해.
• 사용자 공간에서 리소스 관리를 수행하는 라이브러리 드라이버 모델을 통해 안전하고 고성능의 GPU 액세스를 가능하게 하기 위해.
• Radeon HD 6450 및 Intel Ivy Bridge와 같은 실제 GPU에서의 구현 가능성과 성능 이점을 입증하기 위해.
• 기존 드라이버를 라이브러리 드라이버로 변환하기 위해 필요한 하드웨어 조건—메모리 격리, 무해한 인터페이스, 할당된 인터럽트—를 규명하고 검증하기 위해.

제안 방법

• 기존 GPU 드라이버를 두 구성요소로 분해: 하드웨어 격리를 위한 최소한의 신뢰할 수 있는 커널 모듈과 리소스 관리를 위한 신뢰할 수 없는 사용자 공간 디바이스 라이브러리.
• IOMMU와 같은 기존 하드웨어 기능을 활용해 메모리 격리 및 하드웨어 컨텍스트 분리를 통해 안전한 리소스 바인딩을 구현.
• 기존 오픈소스 GPU 드라이버(Radeon, Intel)를 라이브러리 드라이버 형태로 변환하여 기능은 유지하면서 커널 코드를 최소화.
• 메모리 회계를 위해 mmap 및 brk와 같은 시스템 콜을 사용하여 운영체제가 장치 메모리 사용량을 시스템 수준에서 관찰할 수 있도록 보장.
• 저수준이고 좁은 인터페이스를 통해 액세스를 중재하는 디바이스 커널 모듈을 구현하여 전체 드라이버 대비 공격 표면을 줄임.
• OpenGL 즉시 모드 및 버퍼 할당 벤치마크를 사용해 오버헤드와 성능 향상을 측정하는 성능 평가 수행.

실험 결과

연구 질문

• RQ1 커널 공간에서의 디바이스 리소스 관리를 사용자 공간 라이브러리로 안전하게 이관할 수 있는가, 격리 성능에 영향을 주지 않는가?
• RQ2 기존 GPU 드라이버를 라이브러리 드라이버 모델로 안전하게 변환하기 위해 필요한 하드웨어 특성은 무엇인가?
• RQ3 라이브러리 드라이버 모델은 전통적인 드라이버 대비 TCB 크기와 공격 표면을 얼마나 줄일 수 있는가?
• RQ4 라이브러리 드라이버 모델은 성능 저하를 초래하는가, 아니면 I/O 집약적인 워크로드에서 기존 드라이버를 초월하는가?
• RQ5 통합 드라이버 대비 라이브러리 드라이버 모델이 메모리 회계, 디버깅, 프로세스 간 공유에 어떤 영향을 미치는가?

주요 결과

• Radeon HD 6450 GPU에서 Glider는 TCB 크기를 약 35% 감소시키고 공격 표면을 84% 감소시켰다.
• Intel Ivy Bridge GPU에서 Glider는 TCB 크기를 약 38% 감소시키고 공격 표면을 90% 감소시켰다.
• OpenGL 즉시 모드 렲영과 같은 상호작용이 집약적인 워크로드에서 시스템 콜과 데이터 복사의 제거로 인해 기존 드라이버보다 뛰어난 성능을 보였다.
• 라이브러리 드라이버는 성능에 추가 비용을 들이지 않았고, I/O 집약적인 환경에서 측정 가능한 성능 향상을 보였다.
• 모든 장치 메모리 할당이 mmap 및 brk와 같은 표준 운영체제 인터페이스를 통해 시스템 수준에서 가시성이 확보되어 더 나은 메모리 회계가 가능해졌다.
• 사용자 공간 디버깅 도구와 고수준 프로그래밍 언어 사용이 가능해지면서 드라이버 개발이 단순화되었고, 유지보수성 향상과 타이밍 버그 감소에 기여했다.