[论文解读] TaskShuffler++: Real-Time Schedule Randomization for Reducing Worst-Case Vulnerability to Timing Inference Attacks

Man-Ki Yoon, Jung-Eun Kim+2 more|arXiv (Cornell University)|Nov 18, 2019

Real-Time Systems Scheduling参考文献 28被引用 5

一句话总结

TaskShuffler++ 是一种实时调度随机化算法，通过动态利用运行时信息来增加调度不确定性，同时保持可调度性，从而增强对时序推断攻击的防御能力。与 TaskShuffler 相比，其调度最小熵提高了 36.89%，显著降低了攻击者在最坏情况下预测任务执行时间的能力。

ABSTRACT

This paper presents a schedule randomization algorithm that reduces the vulnerability of real-time systems to timing inference attacks which attempt to learn the timing of task execution. It utilizes run-time information readily available at each scheduling decision point to increase the level of uncertainty in task schedules, while preserving the original schedulability. The randomization algorithm significantly reduces an adversary's best chance to correctly predict what tasks would run at arbitrary times. This paper also proposes an information-theoretic measure that can quantify the worst-case vulnerability, from the defender's perspective, of an arbitrary real-time schedule.

研究动机与目标

• 解决固定优先级实时系统在可预测任务调度下易受时序推断攻击的漏洞。
• 克服先前工作（如 TaskShuffler）的局限性，后者因静态边界和非时序感知的任务选择而存在时间局部性问题。
• 设计一种运行时调度随机化技术，以在不损害可调度性的前提下提高调度的不可预测性。
• 提出一种新的信息论度量指标——调度最小熵，用于从防御者视角量化最坏情况下的脆弱性。
• 通过实验分析与现有方法的对比，评估所提方法的有效性。

提出的方法

• TaskShuffler++ 利用运行时可获取的信息（如当前就绪队列状态和任务执行进度）来确定哪些任务可能被调度，从而实现动态优先级反转。
• 采用加权任务选择机制，根据时序上下文对候选任务区别对待，降低时间局部性，提升执行顺序的随机性。
• 该算法避免依赖悲观的离线边界来设定优先级反转预算，转而使用实时状态指导调度决策。
• 引入调度最小熵作为度量指标，用于量化攻击者在预测任务身份时的最佳成功概率。
• 提出 TaskShuffler++ 的近似变体，以降低计算复杂度，同时保持高安全性。
• 通过确保在固定优先级可抢占调度下最坏情况响应时间仍满足截止时间，保障系统的可调度性。

实验结果

研究问题

• RQ1 如何在不违反可调度性约束的前提下，通过运行时随机化调度来增加任务执行时间的不确定性？
• RQ2 与先前方法中采用静态或非时序感知选择相比，运行时感知的任务选择在多大程度上减少了时间局部性？
• RQ3 调度最小熵能否作为衡量时序推断攻击最坏情况脆弱性的可靠、信息论意义上的度量？
• RQ4 TaskShuffler++ 在降低攻击者预测任务执行能力方面与 TaskShuffler 相比如何？
• RQ5 所提出的运行时随机化方法在安全性（以最小熵衡量）与计算开销之间存在何种权衡？

主要发现

• 与 TaskShuffler 相比，TaskShuffler++ 的调度最小熵提高了 36.89%，表明攻击者正确预测任务执行的概率显著降低。
• TaskShuffler++ 的平均调度最小熵为 1.59%，最大可达 375.25%，表明在不同任务集合下具有广泛的不确定性范围。
• TaskShuffler++ 中的加权任务选择机制有效减少了时间局部性，使任务执行在时间上分布更加均匀。
• 所提出的调度最小熵度量提供了可量化的、信息论意义上的最坏情况脆弱性度量，支持对调度防御机制的客观比较。
• TaskShuffler++ 的近似变体在计算复杂度显著降低的同时，实现了近乎等效的安全性，使其更适合实时系统部署。
• 实验评估证实，TaskShuffler++ 通过在保持可调度性的前提下提高不可预测性，显著提升了对时序推断攻击的防御门槛。