[論文レビュー] Keystone: A Framework for Architecting TEEs.

Dayeol Lee, David Kohlbrenner+3 more|arXiv (Cornell University)|Jul 23, 2019

Security and Verification in Computing参考文献 47被引用数 27

ひとこと要約

Keystoneは、メモリ隔離や信頼できないコンponentの下位に位置するプログラマブル層といったハードウェア抽象化を活用することで、カスタマイズ可能な信頼実行環境（TEE）の構築を可能にするオープンソースフレームワークです。TCB（信頼計算基盤）を縮小し、改変のないRISC-Vハードウェア上で多様なワークロードをサポートするとともに、さまざまな展開モデルにおける安全でポータブルなTEE開発を実現します。

ABSTRACT

Trusted execution environments (TEEs) are being used in all the devices from embedded sensors to cloud servers and encompass a range of cost, power constraints, and security threat model choices. On the other hand, each of the current vendor-specific TEEs makes a fixed set of trade-offs with little room for customization. We present Keystone -- the first open-source framework for building customized TEEs. Keystone uses simple abstractions provided by the hardware such as memory isolation and a programmable layer underneath untrusted components (e.g., OS). We build reusable TEE core primitives from these abstractions while allowing platform-specific modifications and application features. We showcase how Keystone-based TEEs run on unmodified RISC-V hardware and demonstrate the strengths of our design in terms of security, TCB size, execution of a range of benchmarks, applications, kernels, and deployment models.

研究の動機と目的

• 既存のベンダー固有TEEにおけるカスタマイズの欠如に取り組み、セキュリティ、パフォーマンス、コストの間で固定されたトレードオフを強制しないこと。
• セキュリティやポータビリティを損なわず、TEEにプラットフォーム固有の最適化やアプリケーションレベルの機能を組み込むこと。
• 低レベルのハードウェアプリミティブを再利用可能で合成可能なコンポONENTに抽象化することで、信頼計算基盤（TCB）を縮小すること。
• 組み込みデバイスからクラウドサーバーまで、多様なシステムへの展開を可能にするために、改変のないRISC-Vハードウェアを用いた展開を支援すること。

提案手法

• メモリ隔離やセキュアメモリ領域といった低レベルのハードウェア抽象化を活用し、TEE構築の基盤を構築すること。
• 信頼できないコンponent（例：OS）の下位にプログラマブル層を導入することで、TEE動作の細粒度な制御とカスタマイズを可能にすること。
• ハードウェア抽象化から再利用可能なTEEコアプリミティブ（例：セキュアメモリ管理、隔離強制）を設計し、ポータビリティとモularityを確保すること。
• 形式的抽象化とアクセス制御を通じて、セキュリティ保証を維持したまま、プラットフォーム固有の拡張や最適化を可能にすること。
• 改変のないRISC-Vハードウェア上でKeystoneを実装・評価し、多様なワークロードにおけるポータビリティとパフォーマンスを検証すること。
• 最小限の変更でカーネル、ベンチマーク、アプリケーションの実行を可能にし、展開モデルにおける柔軟性を示すこと。

実験結果

リサーチクエスチョン

• RQ1 多様なハードウェアプラットフォームや脅威モデルに対応しつつ、強いセキュリティ保証を維持するためのTEEフレームワークは、どのように設計できるか？
• RQ2 合成可能でハードウェア抽象化されたプリミティブを用いることで、TEEにおいて最小限の信頼計算基盤（TCB）をどの程度達成できるか？
• RQ3 同一のフレームワークが、組み込み環境からクラウド環境まで、改変のないRISC-Vシステム上で安全でポータブルなTEE開発を可能にするか？
• RQ4 カーネル、ベンチマーク、実世界のアプリケーションを含む多様なワークロードにおいて、セキュリティと効率性の観点から、このフレームワークのパフォーマンスはどの程度か？

主な発見

• Keystoneは、モノリティックなベンダーTEEと比較して、顕著に縮小された信頼計算基盤（TCB）を備えたカスタマイズ可能なTEEの構築を可能にした。
• フレームワークは改変のないRISC-Vハードウェア上で正常に動作し、多様な展開モデルにおけるポータビリティと互換性を実証した。
• Keystoneは、カーネル、ベンチマーク、アプリケーションを含む広範なワークロードの実行を、最小限の変更でサポートした。
• 合成可能でハードウェア抽象化されたプリミティブの使用により、セキュリティと隔離保証を維持したまま、プラットフォーム固有の最適化が可能になった。
• フレームワークの設計により、信頼できないコンponent（例：OS）との安全な統合が、それらの下位に位置するプログラマブル層を通じて実現された。
• Keystoneのオープンソース性により、拡張性とコミュニティ主導の強化が可能となり、長期的な保守性と信頼性が向上した。