[论文解读] Warding off timing attacks in Deterland.

Weiyi Wu, E Zhai+4 more|arXiv (Cornell University)|Apr 27, 2015

Security and Verification in Computing参考文献 52被引用 9

一句话总结

本文提出一种由虚拟机监控器强制实施的定时缓解技术，通过强制执行确定性内部时钟并控制 I/O 操作节奏，以防御云环境中的定时通道攻击，从而限制信息泄露。该原型成功在 Linux 等完整规模的操作系统及任意应用程序上缓解了定时通道的信息泄露，且性能开销可调。

ABSTRACT

The massive parallelism and resource sharing embodying today's cloud business model not only exacerbate the security challenge of timing channels, but also undermine the viability of defenses based on resource partitioning. This paper proposes hypervisor-enforced timing mitigation to control timing channels in cloud environments. This approach closes reference clocks internal to the cloud by imposing a deterministic view of time on guest code, and uses timing mitigators to pace I/O and rate-limit potential information leakage to external observers. Our prototype hypervisor implementation is the first system that can mitigate timing-channel leakage across full-scale existing operating systems such as Linux and applications written in arbitrary languages. Mitigation incurs a varying performance cost, depending on workload and tunable leakage-limiting parameters, but this cost may be justified for security-critical cloud applications and data.

研究动机与目标

• 为应对由于大规模并行计算和资源共享导致的云环境中定时通道威胁日益增长的问题。
• 克服传统资源分区防御机制在共享云基础设施中面临的局限性。
• 设计并实现一种虚拟机监控器级别的解决方案，强制执行确定性定时并控制 I/O 操作节奏，以实现信息泄露的缓解。
• 确保与现有操作系统和应用程序的向后兼容性，无需进行任何修改。

提出的方法

• 通过关闭虚拟机监控器内部的参考时钟，为云环境中的时间提供确定性视图。
• 使用定时缓解机制控制 I/O 操作的速率和时机，以减少信息泄露。
• 在所有客户操作系统（包括 Linux）上统一应用缓解措施，且无需修改客户系统。
• 根据工作负载需求调整信息泄露限制参数，以在安全性和性能之间取得平衡。
• 将缓解机制直接集成到虚拟机监控器中，确保对所有客户工作负载实现底层强制执行。

实验结果

研究问题

• RQ1 虚拟机监控器级别的方法是否能有效缓解在各种未经修改的客户操作系统和应用程序上的定时通道信息泄露？
• RQ2 该缓解措施的性能开销如何随不同工作负载和信息泄露限制配置而变化？
• RQ3 该方法在不依赖资源分区机制的前提下，能在多大程度上关闭定时通道？而资源分区机制在高度并行的云环境中已失效。
• RQ4 该系统能否在强制实施强定时隔离的同时，保持与现有软件栈的兼容性？

主要发现

• 该原型成功在现有完整规模的操作系统（如 Linux）及使用任意编程语言编写的应用程序上缓解了定时通道的信息泄露。
• 缓解措施的性能开销具有可变性和可调性，取决于工作负载特性和配置的信息泄露限制参数。
• 该方法能有效关闭内部参考时钟，防止外部观察者通过定时侧信道推断敏感信息。
• 该解决方案无需修改客户操作系统或应用程序，从而实现了广泛的向后兼容性。