[論文レビュー] The Heisenberg Defense: Proactively Defending SGX Enclaves against Page-Table-Based Side-Channel Attacks

Raoul Strackx, Frank Piessens|arXiv (Cornell University)|Dec 22, 2017

Security and Verification in Computing参考文献 33被引用数 11

ひとこと要約

この論文は、Intel SGXエナclaveにおけるページテーブルベースのサイドチャnel攻撃を、実行前のページ翻訳の検証とプリロードによって防止する予防的防御メカニズムであるHeisenbergを提案する。実行時検出を不要とし、情報漏洩を防止するとともに、持続的攻撃下でも安全なエナクラブ再開を可能にする。

ABSTRACT

Protected-module architectures (PMAs) have been proposed to provide strong isolation guarantees, even on top of a compromised system. Unfortunately, Intel SGX -- the only publicly available high-end PMA -- has been shown to only provide limited isolation. An attacker controlling the untrusted page tables, can learn enclave secrets by observing its page access patterns. Fortifying existing protected-module architectures in a real-world setting against side-channel attacks is an extremely difficult task as system software (hypervisor, operating system, ...) needs to remain in full control over the underlying hardware. Most state-of-the-art solutions propose a reactive defense that monitors for signs of an attack. Such approaches unfortunately cannot detect the most novel attacks, suffer from false-positives, and place an extraordinary heavy burden on enclave-developers when an attack is detected. We present Heisenberg, a proactive defense that provides complete protection against page table based side channels. We guarantee that any attack will either be prevented or detected automatically before {\em any} sensitive information leaks. Consequently, Heisenberg can always securely resume enclave execution -- even when the attacker is still present in the system. We present two implementations. Heisenberg-HW relies on very limited hardware features to defend against page-table-based attacks. We use the x86/SGX platform as an example, but the same approach can be applied when protected-module architectures are ported to different platforms as well. Heisenberg-SW avoids these hardware modifications and can readily be applied. Unfortunately, it's reliance on Intel Transactional Synchronization Extensions (TSX) may lead to significant performance overhead under real-life conditions.

研究の動機と目的

• 信頼できないページテーブルを操作することで、攻撃者がページフォールトパターンを介してエナクラブの機密情報を漏洩させるというIntel SGXにおける深刻な脆弱性に対処する。
• 誤検出、未知の攻撃の検出不能、検出後の安全な実行再開が不可能であるといった、反応的防御の限界を克服する。
• 攻撃者がシステムに残留しても情報漏洩が発生しないことを保証する予防的防御を提供する。
• 既存のシステムソフトウェareとの互換性を維持し、TCBの完全な再設計やアプリケーションレベルのコード変更を必要としないソリューションを設計する。

提案手法

• 機密性の高いコードを実行する前に、すべての必要なページ翻訳を事前に検証およびプリロードし、予期しないページフォールトが発生しないようにする。
• Heisenberg-SWでIntel Transactional Synchronization Extensions (TSX) を使用して、ページ翻訳状態をアトミックに検証およびコミットし、再開時のサイドチャネル漏洩を防止する。
• CPUへの最小限の変更で実装するハードウェア支援型バージョン（Heisenberg-HW）を実装し、ページ翻訳プリロード機構とセキュアな状態追跡レジスタを追加する。
• ハイパースレーディングを搭載したプラットフォームではPCRレジスタを活用し、エナクラブ再開中にスペキュラティブ実行のサイドチャネルを検出・防止する。
• 既存のSGXメモリ管理と統合し、実行開始前にすべてのページアクセスパターンが予測可能で事前に検証済みであることを保証する。
• エナクラブアプリケーションに対して透明であり、既存のハイパーバイザーやOSによるメモリ管理制御と完全に互換性を持つように設計する。

実験結果

リサーチクエスチョン

• RQ1 実行時検出に依存せずに、すべてのページテーブルベースのサイドチャネル攻撃を予防的防御で防げるか？
• RQ2 最小限のハードウェア変更で効率的にページ翻訳プリロードを実装し、強固な隔離保証を確保できるか？
• RQ3 エナクラブ再開操作のセキュリティ確保にIntel TSXを使用する場合のパフォーマンスと信頼性のトレードオフは何か？
• RQ4 既知および未知のページテーブルサイドチャネル攻撃、特にページフォールトが発生しない攻撃に対しても防御が耐性を持てるか？
• RQ5 攻撃が検出された後でも、回復フェーズ中に情報漏洩を防ぎながら、エナクラブ実行を安全に再開できるか？

主な発見

• Heisenbergは、実行前にページ翻訳をプリロードおよび検証することで、ページフォールトパターンによる漏洩の可能性を完全に排除し、すべてのページテーブルベースのサイドチャネル攻撃を防止する。
• Intel TSXを用いたHeisenberg-SW実装は顕著なパフォーマンスオーバーヘッドを伴い、特にハイパースレーディング対応プラットフォームでは高負荷下で非終了の可能性がある。
• CPUへの最小限のハードウェア変更で実装されるHeisenberg-HWは、TSXのパフォーマンスの欠陥を回避し、安定的かつ効率的な防御メカニズムを提供する。
• 攻撃者がシステムに残留しても、再開プロセス中に機密情報が漏洩しないため、安全なエナクラブ再開が可能である。
• このアプローチは、既存のSGXプラットフォームと互換性があり、将来的な保護モジュールアーキテクチャにも適用可能であり、アプリケーションレベルのコード変更を必要としない。
• この解決策は、ページフォールトが発生しない、またはアクセスビットの変更を利用する攻撃に対しても効果的に対処でき、反応的防御では検出できない攻撃も抑制できる。