[論文レビュー] MultiK: A Framework for Orchestrating Multiple Specialized Kernels

Hsuan-Chi Kuo, Akshith Gunasekaran+5 more|arXiv (Cornell University)|Mar 16, 2019

Security and Verification in Computing参考文献 20被引用数 8

ひとこと要約

MultiKは、アプリケーション固有のカーネルを複数管理するLinuxベースのフレームワークであり、ほぼゼロのランタイムオーバーヘッドでカーネルの攻撃面を縮小する。D-KutやS-Kutといったプロファイリングツールを用いて、基本ブロックレベルまで細かくコード削減を可能にし、93.68%のコード削減と23件中19件の脆弱性の削除を達成し、性能オーバーヘッドはたった0.19%にとどまる。

ABSTRACT

We present, MultiK, a Linux-based framework 1 that reduces the attack surface for operating system kernels by reducing code bloat. MultiK "orchestrates" multiple kernels that are specialized for individual applications in a transparent manner. This framework is flexible to accommodate different kernel code reduction techniques and, most importantly, run the specialized kernels with near-zero additional runtime overheads. MultiK avoids the overheads of virtualization and runs natively on the system. For instance, an Apache instance is shown to run on a kernel that has (a) 93.68% of its code reduced, (b) 19 of 23 known kernel vulnerabilities eliminated and (c) with negligible performance overheads (0.19%). MultiK is a framework that can integrate with existing code reduction and OS security techniques. We demonstrate this by using D-KUT and S-KUT -- two methods to profile and eliminate unwanted kernel code. The whole process is transparent to the user applications because MultiK does not require a recompilation of the application.

研究の動機と目的

• 不要で脆弱なコードが存在するモノリthic OSカーネルにおける攻撃面の拡大に対処すること。
• 手動設定や再コンパイルを必要とし、高いランタイムオーバーヘッドを引き起こす既存のカーネル特化技術の限界を克服すること。
• 仮想化を伴わず、アプリケーションに対して透明な形で、細かく（例：基本ブロックレベル）特化されたカーネルを提供すること。
• 異種ワークロードに対応するため、複数の特化カーネルとフルカーネルを同じシステム上で共存可能にすること。
• アプリケーションの変更なしに、既存のコード削減およびOSセキュリティ技術と統合し、最小限の性能コストでシステム全体のセキュリティを強化すること。

提案手法

• D-Kut（関数／シンボルおよび基本ブロック粒度のプロファイリング）やS-Kut（システムコールベースのプロファイリング）などのツールを用いて、実行時におけるアプリケーションのプロファイリングを行い、必要となるカーネルコードを特定する。
• プロファイリングデータをもとに、アプリケーションの実際のシステムコールおよびコード使用状況に適合した最適化された最小限のカーネルバイナリを生成する。
• 実行時に各アプリケーションをその独自の特化カーネル上で起動させ、アプリケーションに対して完全に透明になるようにする。
• すべての特化カーネルをベース（vanilla）カーネル上でネイティブに実行し、仮想化に起因するオーバーヘッドを回避する。
• ページ、関数、基本ブロックなど、複数の特化技術および粒度を性能への影響なしにサポートする。
• Dockerなどのコンテナ化システムと統合し、アプリケーションの変更なしにコンテナごとの特化カーネルを可能にする。

実験結果

リサーチクエスチョン

• RQ1 アプリケーションの再コンパイルなしに、性能を損なわず、カーネルの攻撃面を顕著に縮小できるか？
• RQ2 基本ブロックレベルなどの細かい粒度でのカーネル特化を、最小限のランタイムオーバーヘッドで実現可能か？
• RQ3 複数の特化カーネルが同一システム上で効率的に共存・制御可能か？
• RQ4 さまざまなワークロードおよびコード削減粒度において、アプリケーション固有のカーネルとフルカーネルの性能はどのように比較されるか？
• RQ5 アプリケーションの変更なしに、既存のOSセキュリティおよびコード削減技術とフレームワークを統合可能か？

主な発見

• Apacheインスタンスに対して、MultiKはカーネルコードサイズを93.68%まで削減し、攻撃面の顕著な縮小を実現した。
• 同じApacheデプロイメントにおいて、23件中19件の既知のカーネル脆弱性が削除され、強力なセキュリティ強化が実証された。
• Apacheワークロードにおける性能オーバーヘッドはわずか0.19%にとどまり、細かく特化された状態でもほぼネイティブ性能を維持していることが確認された。
• フレームワークはD-KutやS-Kutといった複数の特化技術をサポートし、ページ、関数、基本ブロックなどさまざまな粒度で動作可能であり、性能へのペナルティなしに実現可能である。
• MultiKはアプリケーションに対して透明なカーネル特化を可能にし、コンテナベースのデプロイメント（例：Docker）とシームレスに統合可能であり、アプリケーションの変更なしに利用可能である。
• フレームワークは仮想化のオーバーヘッドを回避し、ネイティブに実行されるため、全評価設定および粒度において1%未満のランタイムオーバーヘッドを達成した。